VPN падключаны, а інтэрнэту няма? Праверце чатыры ўзроўні

Кліент кажа, што падключаны, браўзер круціцца, і кожны сайт сканчаецца тайм-аўтам. Гэта спалучэнне звычайнае і не супярэчнасць: падключаны азначае, што тунель дамовіўся, і не больш. Развязанне імён, маршрутызацыя і ўласны выхад сервера выходзяць з ладу па-свойму, і ў кожнага свой уладальнік. Праходзьце ўзроўні па парадку і спыніцеся на першым, які не спрацаваў.

Пачніце з сеткі, адкуль вы прыйшлі

Абарвіце тунель уласным сродкам адключэння кліента, затым паспрабуйце два незалежныя HTTPS-сайты, калі палітыка дазваляе. Пакіньце адчувальную працу закрытай на час гэтага тэсту. Калі звычайны доступ таксама не працуе, VPN — не першы падазроны.

Паглядзіце на Wi-Fi-злучэнне, роўтар і любую партал-старонку, якая патрабуе ўваходу, перш чым кранаць тунель. Kill switch можа блакаваць трафік пры адключэнні па задуме, таму ідзіце па яго дакументаванай працэдуры тэставання, а не рабіце выснову, што сетка мёртвая. Іншая давераная сетка — карыснае параўнанне, і новы выхад VPN не завершыць пратэрмінаваны ўваход у гатэлі. Калі адкрытая сетка працуе, а тунель не, сетка апраўданая, і наступны ўзровень ваш.

Вызначце, ці збой — гэта развязанне імён

Запішыце тэкст памылкі, бо збой развязання, тайм-аўт і папярэджанне пра сертыфікат паказваюць кожны ў іншае месца. Узор, які трэба злавіць рана: імя хоста, якое вы ніколі не наведвалі, не працуе, а праграма з адкрытай сесіяй працягвае працаваць. Гэты ўзор пра новыя запыты, а не пра тое, што тунель нясе пакеты. Адзін запыт паказвае, што вяртае рэзалвер, і займае секунду. Паспрабуйце і другое імя, каб адзін кэшаваны адказ ці адзін зламаны запіс не вырашыў дыягназ.

nslookup example.com

Адвольны IP у адрасным радку HTTPS — не тэст DNS, бо сертыфікат і віртуальны хост звычайна залежаць ад імені. Унутраныя імёны могуць патрабаваць рэзалвера арганізацыі, а не публічнай замены, і браўзер з уласным бяспечным рэзалверам можа адказаць інакш, чым запыт аперацыйнай сістэмы. Калі яны разыходзяцца, рэзалвер браўзера — гэта тое, што адчувае карыстальнік, і гэта адрозненне належыць білету.

Поўны тунель ці толькі кампанійскія падсеткі

Некаторыя профілі існуюць толькі каб дасягнуць некалькіх кампанійскіх падсетак; іншыя створаны несці ўсё і патрабуюць працоўнага выхаду за імі. Прачытайце дакументаванае прызначэнне, перш чым меркаваць, што індыкатар ахоплівае кожную праграму і сямейства адрасоў. Профіль прыватнай сеткі можа працаваць менавіта так, як задумана, пакуль браўзер, якому не было наканавана ім карыстацца, усё яшчэ не спрацуе. Прачытайце табліцу маршрутаў, не змяняючы яе, і ўключыце IPv6, бо працоўны шлях IPv4 нічога не кажа пра другое сямейства.

Больш канкрэтны маршрут можа перамагчы, пакуль маршрут па змаўчанні яшчэ існуе, таму табліцу трэба чытаць, а не меркаваць. Канкуруючыя віртуальныя адаптары таксама могуць валодаць трафікам, які вы чакалі ў іншым месцы, асабліва пасля таго, як другі VPN-кліент быў усталяваны і забыты. Не выдаляйце маршрут па змаўчанні як эксперымент; гэта ператварае дыягназ у другі збой.

Адзін сайт, які не працуе сярод працоўных, — гэта праблема гэтага сайта, і гэта таксама даказвае, што тунель нясе трафік. Затрымкі, якія з'яўляюцца толькі на вялікіх перадачах, паказваюць на памер пакета, а не на дасяжнасць.

Калі сервер нічога не перасылае далей

Калі кожны пункт прызначэння не спрацуе на двух прыладах і двух сетках доступу, тунель узняты, а выхад не перасылае. Гэтае спалучэнне аддзяляе збой на баку сервера ад адной прылады, няправільна наладжанай у адным месцы. Пашліце аператару пытанні пра перасыланне, NAT і зваротны шлях, а не здымак індыкатара.

Гэтыя тры ахопліваюць большасць прычын на баку сервера, і адказваць на іх — справа аператара. Старонка вырашэння праблем з падключэннем OpenVPN праходзіць тыя ж пытанні з боку сервера, таму перадайце яе разам з білетам. Здымак зялёнага індыкатара не адказвае ні на адно з іх.

Прасчытайце кліенцкі журнал пасля ўваходу на прадмет збояў прымянення маршрутаў, налад DNS ці віртуальнага адаптара. Памылкі на гэтым этапе паказваюць на прыладу, а не на сервер. Памылка, якая ніколі не з'яўляецца ў журнале, гэтак жа інфарматыўная, бо пераносіць падазрэнне на далёкі бок.

Правярайце па адным узроўні за раз

Пасля змены нечага перападключыцеся і паўтарыце тую самую праграму, якая не спрацавала. Адна старонка, якая загрузілася, даказвае менш, чым паўторны шлях да рэсурсаў, для якіх створаны профіль. Дзве каманды аддзяляюць развязанне ад дасяжнасці, і другая залежыць ад хоста. Запусціце радок curl дзе заўгодна, затым запусціце каманду маршруту, якая адпавядае хосту перад вамі.

curl -sS -o /dev/null -w "%{http_code}" --max-time 5 https://example.com
route print -4          # Windows
ip -4 route show        # Linux
netstat -rn | head      # macOS

Калі лікавы запыт працуе, а імя не, заставайцеся на DNS. Калі не працуе нічога, параўнайце табліцу маршрутаў з чаканым маршрутам тунеля па змаўчанні і праверце сямейства, якое вы насамрэч тэстуеце. Калі маршрут правільны, а запыт усё яшчэ памірае на выхадзе, астатняе пытанне належыць аператару, а доказы, якія вы захавалі, і ёсць білет.