Тайм-аўт злучэння VPN: DNS, транспарт, узгадненне ці ўваход
Тайм-аўт азначае толькі, што скончыўся тэрмін. Параўнайце чатыры этапы, развязанне імя, транспарт, узгадненне і ўваход, каб убачыць, які з іх апошні завяршыўся.
«Злучэнне перавысіла час» — гэта найменш пэўная памылка, якую кліент VPN можа вывесці. Яна азначае, што адна аперацыя прапусціла свой тэрмін, а ў кожнага этапу ад развязання імя да адказу на ўваход ёсць тэрмін. Кліенты, якія паказваюць толькі апошняе паведамленне, робяць этапы аднолькавымі на выгляд, таму людзі павялічваюць тайм-аўт, мяняюць порт і пераўсталёўваюць профіль, у гэтым парадку, нічога не даведаўшыся. Параўноўваць этапы хутчэй: кожны з іх адмаўляе ў розным месцы, і кожная адмова пакідае розны від доказаў.
Чатыры этапы, чатыры розныя адмовы
Паслядоўнасць нязменная, нават калі кліент яе хавае: імя мусіць развязацца, да атрыманага адраса мусіць быць усталяваны транспарт, пратакол мусіць узгадніць свае параметры і ключы, а ўліковы запіс мусіць быць аўтэнтыфікаваны. Дапаможнік OpenVPN па выпраўленні праблем злучэння ідзе ў тым жа парадку для ўласнага кліента, і астатнія блізка трымаюцца яго. Тайм-аўт на другім этапе і тайм-аўт на чацвёртым не маюць нічога агульнага, акрамя слова на экране.
| Stage | Looks like | What it does not prove |
|---|---|---|
| Name resolution | fails in under a second, before any contact | nothing about the server being up |
| Transport | waits the full timeout, then gives up | nothing about the VPN service behind the port |
| Negotiation | connects, then stalls at handshake | nothing about credentials |
| Login | a reply arrives and is rejected or hangs on a prompt | nothing about reachability |
Чытайце журнал у пошуку апошняга радка, які сведчыць пра прагрэс, а не апошняга радка перад памылкай. Большасць кліентаў выводзіць нешта накшталт развязанага адраса, усталяванага сокета, пачатай рукапаціскной сувязі або запыту аўтэнтыфікацыі, і этап, які ідзе за гэтым радком, і ёсць той, што перавысіў час.
Развязанне імя адмаўляе да любога кантакту
Калі канцавы пункт ніколі не развязваецца, кліенту няма да чаго падключацца і ніякай працы транспарту не адбылося. Такая адмова звычайна імгненная, а не поўны тайм-аўт, і гэта найтанчэйшы спосаб адрозніць яе ад астатніх. Праверце імя сістэмным развязальнікам і другім развязальнікам, і параўнайце два адказы, перш чым рабіць выснову, што сервер ляжыць.
Стары адрас, скапіяваны з паведамлення на форуме, — частая прычына тайм-аўту, які выглядае як праблема сервера, бо адрас цяпер належыць чамусьці іншаму або нічому. Выкарыстоўвайце бягучы профіль аператара замест замены адраса, які калісьці працаваў. Адсутнасць адказу на ping нічога не даказвае: шмат канцавых пунктаў скідае ICMP, пры гэтым выдатна абслугоўваючы.
Наладка транспарту чакае пакета, які не прыйдзе
Калі DNS у парадку, а кліент усё ж спальвае ўвесь тайм-аўт, падазроны — транспартны ўзровень. На TCP можна праверыць порт непасрэдна; Test-NetConnection у Windows або nc -vz у Linux скажа, ці прымае нешта злучэнне, і гэта карысней за ping. На UDP так праверыць нельга, бо на гэтым узроўні няма рукапаціскной сувязі, якую трэба завяршыць, і гэтая асіметрыя спараджае шмат памылковых высноў.
Тое, што даказвае TCP-тэст, абмежаванае: сэрвіс, які прымае порт 443, не абавязкова з'яўляецца слухачом VPN, а канцавы пункт толькі з UDP не мае TCP-порта, каб нешта прымаць. Перапісванне профілю з UDP на TCP не стварае слухача на тым баку; яно толькі змяняе тое, чаго чакае ваш кліент. Калі сетка фільтруе пратакол, змена дае іншы тайм-аўт на тым жа этапе.
Палонныя парталы заслугоўваюць асобнай праверкі на гэтым этапе. Пакуль партал не дазволіць прыладзе, зыходны трафік ідзе да партала, і спроба тунеля проста завісае. Спачатку завяршыце партал у браўзеры, потым паспрабуйце зноў, і не мяняйце профіль, пакуль партал яшчэ ў чаканні.
Узгадненне і ўваход азначаюць, што сервер адказаў
Як толькі тунель дасягае сервера, кліент пачынае рукапаціскную сувязь, і характар памылкі змяняецца. Застой тут пра сумяшчальнасць, а не пра дасяжнасць: несупадальныя версіі пратакола, шыфр або наладка канала даных, якія той бок не прыме, або профіль, што чакае функцыю, якую сервер не прапануе. OpenVPN змяняў свае прадвызначаныя налады ўзгаднення паміж асноўнымі версіямі так часта, што профіль, напісаны для аднаго пакалення, можа дасягнуць сервера і ўсё адно не падняцца.
Аўтэнтыфікацыя — апошні этап і самы просты для няправільнага чытання. Яўная адмова — гэта адказ, што азначае: шлях працуе, а праблема ў ідэнтычнасці, сертыфікаце або стане ўліковага запісу. Паток адзінага ўваходу праз браўзер — трэці выпадак: кліент чакае дзеяння, якое вы не зрабілі, або браўзера, які ён не можа запусціць, і нічога не прыйдзе, пакуль вы не завершыце гэты крок.
Параўнайце доказы, перш чым мяняць паўтор
Трымайце прыладу і профіль нерухомымі і мяняйце па адным, пачынаючы з сеткі. Калі той жа профіль падключаецца праз кропку доступу тэлефона і перавышае час у Wi-Fi гатэля, зменная — шлях, а не сервер. Калі ён адмаўляе ўсюды, зменная — профіль або канцавы пункт. Калі ён адмаўляе толькі ў пэўны час дня, зафіксуйце адзнаку часу і параўнайце яе з падзеямі на баку сервера, перш чым меркаваць штосьці пра нагрузку.
Для сэрвісу, які вы адмініструеце, вырашальнае параўнанне — ці спроба ўвогуле даходзіць. Злучэнне, што дасягае слухача і потым застойвае, належыць этапу ўзгаднення; тое, што ніколі не з'яўляецца ў полі зроку слухача, — праблема транспарту або развязання, і ніякая наладка паўтору яго не зрушыць. Журналы сервера таксама аддзяляюць адпрэчаны ўваход ад ціхага скіду, а гэта розніца паміж выпраўленнем ідэнтычнасці і выпраўленнем філяра.
Запішыце версію кліента, імя профілю, час спробы з яго часавым поясам і першую карысную памылку замест апошняга радка пра адключэнне. Выдаліце ключы і матэрыялы з уліковымі данымі, перш чым дзяліцца ўрыўкам. Потым зрабіце адну значную папраўку і паўтарыце спробу, бо даўжэйшы тэрмін дапамагае толькі задакументаванай павольнай аперацыі і нічога не робіць для няправільнага адраса або заблакаванага порта.