VPN падключаны, але адна служба не працуе: вызначце этап

«Падключана» — гэта найменш інфарматыўны факт у заяўцы па VPN. Ён фіксуе, што два бакі завяршылі рукапоцісканне, і нічога не кажа пра імя, якое запытвалася, інтэрфейс, праз які выйшаў пакет, яго памер або ці прыняў яго далёкі бок. Таму адна служба можа не працаваць, пакуль усе астатнія праграмы на тым жа ноўтбуку працуюць. Прайдзіце этапы па парадку, і першы збойны этап назаве няспраўнасць.

Пачніце з імя, а не з тунеля

Спачатку развяжыце імя, а потым маршрутызуйце, бо дрэнны адказ робіць кожную наступную праверку бессэнсоўнай. Запытайце імя праз сістэмны рэзалвер і параўнайце гэты адказ з адрасам, які праграма фактычна выкарыстала. Прыватнае імя, якое вяртаецца як публічны адрас, азначае, што запыт пайшоў да рэзалвера, якому няма чаго на яго адказваць. Імя, якое не развязваецца, — тая ж катэгорыя, толькі гучней.

resolvectl query host.internal
getent hosts host.internal

Браўзеры з уласнай наладай бяспечнага DNS збаўляюць тут, пакуль астатняя сістэма працуе. Таму скарга, якая датычыць толькі браўзера, належыць менавіта да гэтага этапу, перш чым хтосьці кране маршрут. Параўнайце абедзве каманды, а не адну, бо getent ідзе па шляху NSS, а запыт да рэзалвера — не.

Спытайце ядро, які шлях яно выбрала

Табліца маршрутызацыі — гэта парадак пераваг, і шлях, які выбірае ядро, не заўсёды той, што паказаны на схеме. Спытайце яго напрамую пра патрэбны пункт прызначэння. Адказ называе інтэрфейс, наступны хоп і адрас крыніцы, які будзе выкарыстаны. Пакет можа выйсці праз тунель з адрасам крыніцы, які далёкі бок адхіляе, а больш канкрэтны запіс у фізічнай табліцы можа адправіць яго праз інтэрфейс Wi-Fi.

ip route get 10.20.30.40
ip -brief address show

Чытайце палі dev, via і src менавіта ў гэтым парадку, бо кожнае здымае іншае падазрэнне. Гэты этап таксама адказвае за стан, які ўсталяваў кліент, бо правілы файрвола і маршруты могуць застацца пасля аварыйнага выхаду. Таму «няма інтэрнэту без тунеля» і «няма інтэрнэту, пакуль не запушчаны кліент» — адна сям’я няспраўнасцей, а не дзве.

Праверце памер пакета

Маленькі адказ, які вяртаецца, пакуль вялікая перадача замірае, перш за ўсё паказвае на MTU шляху. Адзін запыт з усталяваным бітам do-not-fragment, адпраўлены знутры тунеля, аддзяляе гэты этап ад астатніх. Павялічвайце нагрузку, пакуль запыт не збаўляе, і вы атрымаеце лік, які мае значэнне.

ping -M do -s 1400 10.20.30.40

Маленькія запыты праходзяць, пакуль спіс каталога або загрузка вісяць, — гэта подпіс гэтага этапу. Скарга гучыць як праблема з уліковымі данымі або правілам файрвола, і гэта ні тое, ні другое.

Гэты лік — уласцівасць шляху, а не кліента, таму значэнне, якое працуе на офісным злучэнні, можа збаўляць на мабільным канале. Трымайце каманду запыту разам з заяўкай, бо наступнаму чалавеку патрэбна тое ж вымярэнне. Калі меншая нагрузка праходзіць, рашэнне — clamp або ніжэйшы MTU тунеля, а не новы шыфр.

Праверце далёкі бок

Праверце пункт прызначэння па яго адрасе, затым паглядзіце, што там слухае. Адмова ў злучэнні і злучэнне, якое ніколі не адказвае, — розныя вынікі. Першае кажа, што нешта ўзнята і не абслугоўвае гэты порт, а другое — што нічога не вярнулася. Ні адно з іх па змаўчанні не з’яўляецца праблемай кліента.

curl -sv http://10.20.30.41:8080/health
nc -vz -w 3 10.20.30.41 3389
ss -lnt 'sport = :8080'

Нішто дасягальнае праз тунель не можа быць службай, якая слухае толькі на 127.0.0.1, бо слухач ніколі не бачыць пакет. Калі файрвол далёкага хоста дазваляе офісную падсетку і адхіляе пул тунеля, вынік выглядае як збой кліента і ім не з’яўляецца. Remote Desktop або агульны доступ да файлаў ламаюцца, пакуль вэб-трафік выжывае, — звычайна гэта трапляе сюды, як бы карыстальнік гэта ні сфармуляваў.

Супвяжыце скаргу з адным этапам

Большасць паведамленняў зводзіцца да адной з пяці формаў, і кожная форма называе этап. Адзін сайт, які працуе толькі праз тунель, — гэта адказ імя або палітыка, прывязаная да адраса крыніцы. Абнаўленні збаўляюць без тунеля, пакуль прагляд працуе, — гэта праблема імя або маршруту для таго кліента.

Усё спыняецца, калі запускаецца кліент правайдэра, — гэта ўсталяваны стан, гэта значыць пытанне маршруту і файрвола. Адна служба недасягальная, пакуль астатнія ў парадку, — гэта далёкі бок. Перадачы вісяць праз некалькі секунд — гэта памер пакета. Супастаўце форму, перш чым запускаць каманды, бо яна вызначае, якія доказы збіраць першымі.

Запішыце этап, які даў першы збой, разам з вывадам каманды. Заяўка, якая кажа, што адрас крыніцы быў няправільны, з прыкладзеным радком маршруту, вартая дзеяння, а тая, што паведамляе пра зламаны VPN, — не.