İşləyən VPN niyə cavabda yenə vaxt aşımı verir
Sorğunun şəxsi serverə çatması mübadilənin yalnız yarısıdır. Cavab nəzərdə tutulan şlüz, marşrut və ya tərcümə vasitəsilə tunel müştərisini tapmalıdır.
Sorğu gəlir, server onu qeydə alır, müştəri isə yenə vaxt aşımı bildirir. Bu birləşmə o deməkdir ki, cavab geri yolunu tapa bilməyib, və bu, iki tərəfdən eyni vaxtda təsdiqləyə biləcəyiniz azsaylı nasazlıqlardan biridir. Yoxlamaları ardıcıllıqla aparın və biri uğursuz olan kimi dayanın.
Sorğunun hara çatdığından başlayın
Başqa heç nəyi yoxlamazdan əvvəl paketin xidmətə çatdığını təsdiqləyin. Server tərəfindəki jurnal qeydi, bağlantı sayğacı və ya uzaq tərəfdə icazə verilmiş tutma eyni suala cavab verir, onların olmaması isə sizi cavaba doğru deyil, tunelə geri qaytarır. Bu, yönləndirmə problemini geri yol problemindən ayıran yoxlamadır.
Əgər sorğu heç vaxt gəlməyibsə, burada dayanın. Tunel, şəxsi prefiksə marşrutlaşdırma və ya giriş qaydası mövzudur, cavab yolu isə hələ aidiyyəti deyil. Serverin gördüyü mənbə ünvanını da qeyd edin. Bu ya müştəriyə verilmiş hovuz ünvanıdır, ya da tərcümə olunmuş ünvandır, və bu fərq sonrakı yoxlamalardan hansının tətbiq olunduğunu müəyyən edir.
Cavabın hovuza marşrutu lazımdır
Uzaqdan giriş müştərisi adətən hovuzdan ünvan alır, şəxsi şəbəkə isə həmin hovuza geri marşrut tələb edir. Defolt marşrutu öz şlüzünə baxan server paketi həmin şlüzə verir, o şlüzün hovuzun harada olduğundan xəbəri yoxdur, ona görə cavab orada ölür. Müştəri vaxt aşımı görür, çünki heç nə geri gəlməyib, və bu, heç vaxt çıxmayan sorğudan fərqlənmir.
Serverin müştəri ünvanı üçün seçdiyi marşrutu yoxlayın, öz alt şəbəkəsi üçün istifadə etdiyi marşrutu deyil. Bu iki axtarış fərqli cavablar verə bilər və burada əhəmiyyətli olan ikincisidir. Tərcümə alternativ dizayndır və serverin nə gördüyünü dəyişir. O, geri yolu sadələşdirə bilər, həm də orijinal müştəri ünvanını server jurnallarından çıxarır, bu da həmin sahə üzərində qurulmuş hər hansı qayda və ya hesabata təsir edir.
Server tutmasını şlüz tutması ilə müqayisə edin
Serverdən çıxanı şlüzə çatanla müqayisə edin. Serverin çıxış interfeysindəki tutma ilə tunel şlüzündəki tutma sualın fərqli yarılarına cavab verir, aralarındakı fərq isə itkinin yerini göstərir.
ip route get 10.90.0.14
tcpdump -ni any host 10.90.0.14 and port 443
ip route show table all | grep 10.90.0.0| Where the reply stops | What it proves |
|---|---|
| Request in the server log, nothing on its outbound capture | The server picked a gateway that cannot reach the pool |
| Reply leaves the server but never shows up at the gateway | Loss on the LAN path, not on the tunnel |
| Reply reaches the gateway but not the client | Return translation or tunnel policy, not the server route |
Şlüzün özünün yaratdığı sorğu müştəri testini zəif əvəz edir, çünki fərqli ünvandan qaynaqlanır və fərqli qaydalara düşür. Buna görə şlüzdən uğurlu ping ilə müştəridən uğursuz sorğu eyni vaxtda doğru ola bilər.
Yolda bir neçə marşrutlaşdırıcı varsa, hovuza marşrut lazım olan hər birini yoxlayın. Sayt-sayt dizaynı çox vaxt uzaq prefiksin birdən çox cihazda bilinməsini tələb edir, şlüzün özü isə tunel ilə LAN arasında yönləndirməlidir; strongSwan yönləndirmə qeydləri bunun sysctl və firewall tərəfini əhatə edir.
Hovuzu, prefiksi və sahibi qeydə alın
Qeydə dörd fakt aiddir: müştərinin aldığı hovuz, ona lazım olan şəxsi prefiks, cavaba cavabdeh olan marşrutlaşdırıcı və varsa tərcümə qaydası. Bunlarla sonrakı şlüz dəyişikliyi araşdırma deyil, müqayisə olur.
Sonra adi müştəri və real tətbiq hesabı ilə yenidən sınaqdan keçirin. Tətbiq imtiyazlarını genişləndirmək paketin geri yolunu bərpa edə bilməz, və bu diaqnoz zamanı edilən hesab dəyişikliyi növbəti müqayisəni qarışdıracaq. Dizayn tərcüməyə əsaslanırsa, onu server jurnallarının oxunduğu yerdə sənədləşdirin. Audit izində tanış olmayan mənbə ünvanı görən şəxs xəritələməni biletdən yenidən kəşf etməməlidir.