Waarom 'n werkende VPN steeds op die antwoord uittyd
Dat 'n versoek 'n privaat bediener bereik, is die helfte van die uitruiling. Die antwoord moet die tonnelkliënt deur die bedoelde poort, roete of vertaling vind.
Die versoek kom aan, die bediener teken dit aan, en die kliënt rapporteer steeds 'n tyduitloop. Daardie kombinasie beteken die antwoord het nie sy pad terug gevind nie, en dit is een van die min foute wat jy van twee kante gelyktydig kan bevestig. Werk die kontroles in volgorde deur en stop wanneer een van hulle misluk.
Begin by waar die versoek aangekom het
Bevestig dat die pakket die diens bereik het voordat jy enigiets anders ondersoek. 'n Aantekening in die bediener se log, 'n verbindingsteller of 'n toegelate opname aan die ver kant beantwoord almal dieselfde vraag, en die afwesigheid daarvan stuur jou terug na die tonnel eerder as vorentoe na die antwoord. Dit is die kontrole wat 'n aanstuurprobleem van 'n terugpadprobleem skei.
As die versoek nooit aangekom het nie, stop hier. Die tonnel, die roetering na die private voorvoegsel of die toegangsreël is die onderwerp, en die antwoordpad is nog nie relevant nie. Let ook op die bronadres wat die bediener gesien het. Dit is óf die poeladres wat die kliënt gekry het óf 'n vertaalde adres, en daardie verskil bepaal watter van die latere kontroles van toepassing is.
Die antwoord het 'n roete na die poel nodig
'n Afstandtoegang-kliënt kry gewoonlik 'n adres uit 'n poel, en die private netwerk het 'n roete terug na daardie poel nodig. 'n Bediener wie se verstekroete na sy eie poort wys, gee die pakket aan daardie poort oor, wat geen idee het waar die poel is nie, so die antwoord sterf daar. Die kliënt sien 'n tyduitloop omdat niks teruggekom het nie, wat nie te onderskei is van 'n versoek wat nooit vertrek het nie.
Kontroleer die roete wat die bediener vir die kliëntadres kies eerder as die roete wat hy vir sy eie subnet gebruik. Daardie twee opsoektogte kan verskillende antwoorde lewer, en die tweede een is die een wat hier saak maak. Vertaling is die alternatiewe ontwerp en dit verander wat die bediener sien. Dit kan 'n terugpad vereenvoudig, en dit verwyder ook die oorspronklike kliëntadres uit die bediener se logboeke, wat enige reël of verslag wat op daardie veld gebou is, beïnvloed.
Vergelyk die bedieneropname met die poortopname
Vergelyk wat die bediener verlaat met wat by die poort aankom. 'n Opname op die bediener se uitgaande koppelvlak en 'n opname op die tonnelpoort beantwoord verskillende helftes van die vraag, en die gaping tussen hulle lokaliseer die verlies.
ip route get 10.90.0.14
tcpdump -ni any host 10.90.0.14 and port 443
ip route show table all | grep 10.90.0.0| Where the reply stops | What it proves |
|---|---|
| Request in the server log, nothing on its outbound capture | The server picked a gateway that cannot reach the pool |
| Reply leaves the server but never shows up at the gateway | Loss on the LAN path, not on the tunnel |
| Reply reaches the gateway but not the client | Return translation or tunnel policy, not the server route |
'n Versoek wat deur die poort self geskep is, is 'n swak plaasvervanger vir 'n kliënttoets, want dit kom van 'n ander adres en voldoen aan ander reëls. Dit is waarom 'n suksesvolle ping vanaf die poort en 'n mislukte versoek vanaf die kliënt albei waar kan wees.
Waar verskeie routers op die pad sit, kontroleer elkeen wat 'n roete na die poel nodig het. 'n Werf-tot-werf-ontwerp vereis dikwels dat die afgeleë voorvoegsel by meer as een toestel bekend is, en die poort self moet tussen die tonnel en die LAN aanstuur; die strongSwan-aanstuurnotas dek die sysctl- en firewallkant daarvan.
Teken die poel, die voorvoegsel en die eienaar aan
Vier feite hoort in die nota: die poel wat die kliënt gekry het, die private voorvoegsel wat hy nodig gehad het, die router wat vir die antwoord verantwoordelik is, en die vertaalreël as daar een bestaan. Daarmee is 'n latere poortverandering 'n vergelyking eerder as 'n ondersoek.
Toets dan weer met 'n gewone kliënt en die regte toepassingsrekening. Om toepassingsvoorregte te verbreed kan nie 'n pakket se terugpad herstel nie, en 'n rekeningverandering tydens hierdie diagnose sal die volgende vergelyking verwar. As die ontwerp op vertaling staatmaak, dokumenteer dit waar die bediener se logboeke gelees word. Die persoon wat 'n onbekende bronadres in 'n ouditspoor sien, behoort nie die kartering uit 'n kaartjie te moet herontdek nie.