Запыт аб падтрымцы хатняга VPN патрабуе аднаго сцэнару, а не звала канфігурацыі

Вы публікуеце адрэдагаваную канфігурацыю, згадваеце, што VPN не працуе, і атрымліваеце шэсць адказаў пра шэсць розных рэчаў. Праблема звычайна ў запыце, а не ў чытачах. Памочнік не можа з канфігурацыі зразумець, ці тунель не будуецца, ці будуецца, але скідае трафік, ці працуе нармальна, пакуль служба файлаў за ім адмаўляе ў злучэнні. Апішыце замест гэтага адзін сцэнар, з трыма ўладальнікамі і адной заўважанай адмовай, і адказы палепшацца адразу.

Чаму запыт атрымлівае некарысныя адказы

Канфігурацыя апісвае тое, што наладжана. Яна не апісвае, што вы спрабавалі, што адбылося і якая з некалькіх машын павінна рабіць якую працу. Без гэтага кожны чытач мяркуе розны этап.

Ілюстратыўны выпадак — падарожны ноўтбук, які павінен дасягнуць службы файлаў на хатнім серверы праз хатні шлюз. Пазначце, ці шлюз, сервер VPN і файлавы сервер — адна машына ці тры машыны, бо гэты адзіны факт змяняе амаль кожны адказ.

Запоўніце гэты запіс перад публікацыяй

Goal: the one resource or operation that should work
Path: client -> access network -> VPN endpoint -> resource
Owners: who controls the client, the gateway and the resource
Software: product, version and protocol in use
Expected: what success would look like
Observed: exact non-secret error or response
Time and change: when it started and what changed
Control: one comparable operation that still works

Восем радкоў, і большасць запытаў становіцца зразумелай. Радок кантролю — той, які людзі апускаюць: калі прагляд з таго ж ноўтбука працуе, а агульны доступ да файлаў не, гэта звужвае праблему да маршрутаў тунеля або да службы, і нікому не даводзіцца пытацца.

Трымайце пазнакі ўзгодненымі, калі рэдагуеце. Захавайце розніцу паміж публічнай канцавой кропкай, адрасам тунеля і хатняй падсеткай. Калі два дыяпазоны перакрываюцца, пакіньце гэтую сувязь бачнай, а не замяняйце кожную сетку адным і тым жа запаўняльнікам, бо перакрыццё часта і ёсць адказ.

Назавіце этап, які збаіў, а не ўвесь журнал

Варта адасобіць пяць этапаў: развязанне імён, спроба злучэння, аўтэнтыфікацыя, усталяванне тунеля і доступ да рэсурсу. Скажыце, які, на вашу думку, збаіў і што вы там убачылі.

Устаўце невялікі ўрывак вакол падзеі, а не кожны адладкавы файл, які можа стварыць кліент. Сто радкоў шуму рукапаціскання хаваюць той адзіны радок, дзе сказана, што імя сертыфіката не супала.

Трымайце назіранне і тлумачэнне асобна. «Кліент паведамляе пра тайм-аўт рукапаціскання праз 30 секунд» — гэта назіранне; «я думаю, што пастаўшчык блакуе UDP» — гэта тэорыя. Абодва карысныя, а іх змешванне азначае, што памочнік не можа зразумець, якому верыць. Пазначце іх, і атрыманы адказ звернецца да патрэбнага.

Адпраўце яго ўладальніку, які можа дзейнічаць

Для ноўтбука пад кіраваннем працадаўцы пачніце з падтрыманага канала працадаўцы, бо супольнасны форум не можа змяніць іх палітыку. Для камерцыйнай службы VPN назвіце прадукт і ўліковы запіс прыватна, а не публічна. Для ўласнага шлюза ўключыце ролі маршрутызатара і сервера, якімі вы кіруеце.

Калі вы карыстаецеся публічнай супольнасцю, выберыце тую, чыя бягучая сфера адпавядае задачы. Старая тэма пра правілы форуму — не дамова аб падтрымцы, і адказ пяцігадовай даўніны пра версію пратакола, якую вы не выкарыстоўваеце, таксама ёю не з'яўляецца.

Схавайце сакрэты, не сплюшчваючы тапалогію

Выдаліце прыватныя ключы, паролі, токены і спасылкі з уліковымі данымі, перш чым што-небудзь пакіне вашу машыну. Дыягнастычны экспарт і поўная канфігурацыя — розныя артэфакты, нават калі імёны файлаў выглядаюць падобна, і тое, што вы ўставілі, можа змяшчаць папярэдне агучаны ключ.

Затым захавайце сувязі, якія робяць сцэнар зразумелым. RFC 6973 лічыць непатрэбны збор і супастаўленне праблемамі прыватнасці, і той жа прынцып дзейнічае тут: дзяліцеся доказамі, якія патрэбны атрымальніку, а не ўсёй машынай.

Скончыце адным пытаннем пра заўважаную разбежнасць, на якое можна адказаць, напрыклад, чаму кліент завяршае аўтэнтыфікацыю і потым ніколі не атрымлівае маршрут. Дакладнае пытанне атрымлівае дакладны адказ, і менавіта створаны запіс дазваляе камусьці даць яго, не пытаючыся ў вас пра сакрэты.