Чаму VPN можа выглядаць падключаным, калі нічога не працуе

Ваш кліент паведамляе пра падключэнне, інтэрфейс узняты, а браўзер сканчае чаканнем, і ніводнае з гэтых трох сцвярджэнняў не ілжэ. «Падключаны» апісвае ўзровень, які не мае ніякага дачынення да старонкі, якую вы запыталі. Каб вызначыць, які ўзровень паведамляе, патрэбны адзін новы запыт і адзін позірк на лічыльнік, які даказаў бы рух трафіку. Перазапуск адкідае гэтыя доказы і перабудоўвае ўмовы, якія вы спрабавалі назіраць.

Тры розныя рэчы, якія называюць «падключаным»

Унізе «падключаны» можа значыць, што працэс кліента працуе і ўтрымлівае сокет да партнёра. Вышэй гэта можа значыць, што існуе інтэрфейс з адрасам, які пастаянная прылада або працэдура аднаўлення могуць стварыць без жывой сесіі за ім. На ўзроўні кіравання гэта можа значыць, што асацыяцыя была ўзгоднена, што нічога не кажа пра тое, ці прайшоў пад ёй хоць адзін пакет. Кожнае з гэтых перажывае збоі, якіх не перажываюць іншыя, і кліент звычайна паказвае наймацнейшае, на якое можа прэтэндаваць.

Зялёная іконка і мёртвы тунель такім чынам сумяшчальныя, а не супярэчлівыя; яны паведамляюць пра розныя аб'екты. Менавіта таму гэты збой увесь час памылкова дыягнастуюць як памылку кліента.

Даслаце адзін бясшкодны запыт на адрас, які вам сапраўды патрэбны, перш чым кранаць дэман, і падчас працы пакіньце на месцы патрабаваны блок прамога трафіку. Перазапуск сцірае парадак падзей і затым аднаўляе іх дастаткова блізка, каб схаваць прычыну, таму той жа тыкет вяртаецца праз тыдзень без нічога новага. Адзін запыт, адно паказанне лічыльніка і трыгер, які выклікаў збой, — мінімум доказаў.

Які лічыльнік даказвае, што пакеты рушылі

У IPsec асацыяцыя IKE і асацыяцыя CHILD — асобныя аб'екты, і толькі child нясе лічыльнікі, якія адказваюць на гэтае пытанне. Пералічыце child, паназірайце, ці растуць пакеты ў абодвух кірунках, і параўнайце гэта з тым, што спрабуе зрабіць праграма. Усталяваная асацыяцыя з нулём — гэта іншая выснова, чым тая, што расце, пакуль праграма ўсё яшчэ збоіць; першая значыць, што трафік не выбіраецца, другая — што ён рухаецца, а збой далей. Прачытайце лічыльнікі двойчы з інтэрвалам у некалькі секунд, бо адна выбарка не пакажа тэндэнцыі.

swanctl --list-sas
ip xfrm state list
ip -s link show dev tun0

Нулявыя лічыльнікі паказваюць на выбар: маршрутызацыю, палітыку, прастору імёнаў, з якой выйшаў пакет, або інтэрфейс, да якога кліент ніколі не прывязаўся. Лічыльнікі, што растуць, паказваюць ад тунелю, таму працягвайце з перасылкай на далёкім баку, развязаннем імёнаў, зваротным шляхам і службай прызначэння — менавіта ў гэтым парадку. Пратакол без асобнага аб'екта child паказвае тыя ж доказы ў сваіх тэрмінах, таму выкарыстоўвайце тое, што ён паведамляе пра стан партнёра і колькасць пакетаў, а не пазычайце слоўнік IPsec. Форма паказання важнейшая за інструмент, які яго выдаў.

Дзе знаходзіцца збой пасля таго, як лічыльнікі рушылі

Шлюз, які адказвае на ўласным адрасе кіравання, даказвае, што шлюз працуе, а не тое, што нешта за ім абслугоўвае ваш запыт, таму правярайце далёкі бок, а не скрыню пасярэдзіне. Развязанне імёнаў хавае збоі найлепш, бо рэзалвер, да якога не дабрацца праз тунель, сканчае чаканнем гэтак жа, як мёртвае злучэнне. Два запыты раздзяляюць гэтыя выпадкі, і абодва танныя. Спачатку спытайце рэзалвер, які праштурхвае тунель, затым спытайце публічны рэзалвер пра тое ж імя.

dig +short host.example
dig +short @10.20.0.1 host.example
ping -c 2 10.20.0.25

Імя, якое развязваецца праз публічны рэзалвер, але не праз тунельны, значыць, што шлях DNS зламаны, а імя, якое развязваецца праз абодва і ўсё яшчэ сканчае чаканнем у браўзеры, паказвае на зваротны шлях або на службу. Калі ping па адрасе ўдаецца, а праграма ўсё яшчэ адмаўляе, сетка даставіла запыт, а служба адхіліла яго, што зусім іншая стадыя.

Запішыце трыгер, затым змяніце адно

Запішыце, што папярэднічала збою: перыяд бяздзейнасці, змена сеткі, абнаўленне ключа, адноўлены ноўтбук або адноўленая сістэма. Яны ствараюць розныя механізмы, і толькі адноўленая сістэма звычайна рамантуе сябе, а гэта менавіта той выпадак, які нічому вас не вучыць. Перазапуск прыбірае парадак падзей і затым аднаўляе ўмовы дастаткова блізка, каб схаваць прычыну. Запішыце трыгер, пакуль ён яшчэ ўзнаўляльны.

Затым зрабіце адну падмацаваную папраўку і паўтарыце першапачатковы запыт разам з трыгерам, які выклікаў збой. Бяздзейнасць — найпрасцейшы трыгер для ўзнаўлення, таму гэта найхутчэйшае пацверджанне, што выпраўленне закранула механізм, а не сімптом.

Вы хочаце паведаміць доказ таго, што трафік, які вы мелі намер даслаць, дасягнуў службы, да якой вы мелі намер дабрацца. Іконка, што зелянее, загружаная з кэша старонка і лічыльнік, што рухаецца, усе разам даказваюць менш за адзін завершаны запыт да мэтавага адрасу. Трымайце запыт, паказанне лічыльніка і трыгер разам, каб наступны чалавек мог адрозніць выпраўленне ад выпадковасці.