Публічны спіс VPN кажа «онлайн»; ваш кліент кажа «не»

Вы адкрываеце каталог, сортуеце па хуткасці, выбіраеце вузел, пазначаны як онлайн, і кліент здаецца перш, чым скончыць злучэнне. Спіс не хлусіў, калі дакладна. Ён паведамляў вынік чужой праверкі, з іншай сеткі, у ранейшы момант, супраць сэрвісу, які валанцёр можа выключыць у любы час. Разуменне гэтай розніцы ператварае стомны пошук у кароткую паслядоўнасць праверак, якія можна правесці на любым кандыдаце.

Што спіс насамрэч вымераў

Публічны каталог захоўвае такія палі, як час апошняй праверкі, назіраная велічыня кругавога запазнення, колькасць сесій і часам спіс пратаколаў. Кожнае з іх апісвае апошняе паспяховае назіранне з уласнай перспектывы праекта, а не стан вузла ў момант прыходу вашага пакета.

Свежасць важнейшая за лік. Вузел, правераны чатыры хвіліны таму, і вузел, правераны чатыры гадзіны таму, могуць паказваць аднолькавы зялёны маркер, і толькі адзін з іх яшчэ падобны на запісаны стан. Шукайце адзнаку часу, а не колер.

Валанцёрская праца дадае другую крыніцу змен, якую не выправіць ніводны манітор. Аператар можа перазагружаць ноўтбук, сканчаць трафік, мяняць інтэрнэт-правайдэра, або проста закрываць вечка. Запіс у спісе — гэта кандыдат, і ставіцца да яго як да пагаднення аб узроўні паслуг — памылка катэгорыі.

Сачыце за этапамі кліента, а не за круцёлкай

Кожны кліент VPN праходзіць адну і тую ж шырокую паслядоўнасць: развязаць імя, адкрыць транспартнае злучэнне, узгадніць бяспеку, прайсці аўтэнтыфікацыю, затым наладзіць тунель і перадаць даныя. Збой на кожным этапе пакідае розныя сведчанні, і круцёлка не паказвае ніводнага з іх.

Пачніце з развязання імя. Калі імя хоста не развязваецца, нічога пра даступнасць вузла не праверана, бо злучэнне так і не пакінула вашу машыну. Далей транспарт: адмоўлены або пратэрмінаваны абмен TCP або UDP кажа, што канцавы пункт не адказвае на гэтым порце, і гэта сапраўдная знаходка пра вузел. Затым узгадненне і аўтэнтыфікацыя, дзе памылковы сертыфікат, састарэлы профіль або неадпаведны шыфр церпяць збой, пакуль вузел цалкам здаровы. Толькі пасля наладжвання тунеля збой маршрутызацыі або DNS можа вытлумачыць апошні крок.

Чытайце журнал кліента з найвышэйшай падрабязнасцю, якая яшчэ змяшчаецца на экране, і адзначце апошні радок, які атрымаўся. Менавіта з гэтага радка пачынаецца дыягностыка, і ён звычайна больш інфарматыўны, чым усё, што паказвае каталог.

Адна зменная на спробу

Параўноўвайце кандыдатаў з аднолькавым кліентам, аднолькавай сеткай доступу і аднолькавым фарматам профілю, змяняючы толькі канцавы пункт. Інакш збой можа быць вашым, і вы прыпішаце яго вузлу.

Дзвюх спроб дастаткова, каб устанавіць заканамернасць, а трэцяя яе пацвярджае. Калі вузел A падводзіць на этапе транспарту, а вузел B — на аўтэнтыфікацыі, у вас дзве незвязаныя праблемы, а не адзін састарэлы спіс.

Калі кожны вузел падводзіць аднолькава

Усеагульны збой на першым этапе паказвае на ваш бок: развязвальнік, які не можа адказаць, лакальны файрвол, які блакуе пратакол, або сетка, якая дазваляе толькі вэб-трафік. Каталог не можа паведаміць пра гэта, бо яго праверкі не выконваюцца з вашага месца.

Свядома праверце выпадак фармаванай сеткі. Некаторыя сеткі доступу дазваляюць HTTPS да вэба і скідаюць іншыя пратаколы, што робіць кожнага кандыдата мёртвым, пакуль спіс дакладны. Параўнанне загрузкі старонкі ў браўзеры з сырой спробай злучэння раздзяляе гэтыя дзве сітуацыі менш чым за хвіліну.

Чытайце збой на тым этапе, дзе ён адбыўся

Паўтарыце спробу з тэрмінала, каб этапы былі бачныя. Тры каманды ніжэй развязваюць імя, правяраюць, ці адказвае порт, і выводзяць радкі ўзгаднення з профілю OpenVPN:

dig +short node.example.net
curl -s --max-time 5 telnet://node.example.net:443
openvpn --config node.ovpn --verb 4 2>&1 | grep -iE "TLS|AUTH|PUSH"

Калі порт адказвае і радок узгаднення паведамляе пра праблему сертыфіката, вузел працуе, а ваш профіль састарэў. Калі порт зусім не адказвае, запіс — гэта кандыдат, які падвёў, і пераход да наступнага — правільны адказ, а не адладка вашага кліента. Адзначце этап у кароткім радку, і наступная спроба пачнецца са ведаў, а не з надзеі.