Заявка за поддръжка на домашен VPN изисква един поток, а не изсипване на конфигурация

Публикувате редактирана конфигурация, споменавате, че VPN не работи, и получавате шест отговора за шест различни неща. Проблемът обикновено е в заявката, не в читателите. Помощникът не може от конфигурация да разбере дали тунелът не се изгражда, дали се изгражда, но изпуска трафика, или работи добре, докато файловата услуга зад него отказва връзката. Опишете вместо това един поток, с три собственика и една наблюдавана повреда, и отговорите веднага се подобряват.

Защо заявката получава безполезни отговори

Конфигурацията описва какво е настроено. Тя не описва какво сте опитали, какво се е случило или коя от няколко машини трябва да свърши коя работа. Без това всеки читател предполага различен етап.

Илюстративният случай е пътуващ лаптоп, който трябва да достигне файлова услуга на домашен сървър през домашния шлюз. Посочете дали шлюзът, VPN сървърът и файловият сървър са една машина или три машини, защото този един факт променя почти всеки отговор.

Попълнете този запис, преди да публикувате

Goal: the one resource or operation that should work
Path: client -> access network -> VPN endpoint -> resource
Owners: who controls the client, the gateway and the resource
Software: product, version and protocol in use
Expected: what success would look like
Observed: exact non-secret error or response
Time and change: when it started and what changed
Control: one comparable operation that still works

Осем реда, и повечето заявки стават отговорими. Редът за контрол е този, който хората пропускат: ако сърфирането от същия лаптоп работи, а файловото споделяне не, това стеснява проблема до маршрутите на тунела или до услугата, и никой не трябва да пита.

Поддържайте етикетите последователни, когато редактирате. Запазете разликата между публичната крайна точка, адреса на тунела и домашната подмрежа. Ако два диапазона се припокриват, оставете тази връзка видима, вместо да заменяте всяка мрежа с един и същ заместител, защото припокриването често е отговорът.

Назовете отказалия етап, а не целия журнал

Пет етапа си струва да се разделят: разрешаване на имена, опит за връзка, удостоверяване, установяване на тунела и достъп до ресурса. Кажете кой според вас се е провалил и какво сте видели там.

Поставете малък откъс около събитието, вместо всеки файл за отстраняване на грешки, който клиентът може да създаде. Сто реда шум от ръкостискане скриват единствения ред, който казва, че името на сертификата не съвпада.

Дръжте наблюдението и обяснението отделно. „Клиентът съобщава за изтичане на времето за ръкостискане след 30 секунди“ е наблюдение; „мисля, че доставчикът блокира UDP“ е теория. И двете са полезни, а смесването им означава, че помощникът не може да разбере на кое да вярва. Етикетирайте ги и отговорът, който получавате, ще адресира правилното.

Изпратете го на собственика, който може да действа

За лаптоп, управляван от работодател, започнете с поддържания от работодателя канал, защото общностен форум не може да промени политиката им. За търговска VPN услуга посочете продукта и акаунта насаме, а не публично. За собствения си шлюз включете ролите на рутера и сървъра, които контролирате.

Ако използвате публична общност, изберете такава, чийто текущ обхват отговаря на задачата. Стара тема за правилата на форума не е договор за поддръжка, нито е такъв отговор на пет години за версия на протокол, която не използвате.

Скрийте тайните, без да сплесквате топологията

Премахнете частните ключове, паролите, токените и връзките с идентификационни данни, преди нещо да напусне машината ви. Диагностичният експорт и пълната конфигурация са различни артефакти, дори когато имената на файловете изглеждат сходни, и това, което сте поставили, може да съдържа предварително споделен ключ.

След това запазете връзките, които правят потока разбираем. RFC 6973 разглежда ненужното събиране и свързване като проблеми за поверителността, и същият принцип важи тук: споделете доказателствата, които получателят има нужда, а не цялата машина.

Завършете с един въпрос за наблюдаваното несъответствие, на който може да се отговори, например защо клиентът завършва удостоверяването и след това никога не получава маршрут. Конкретният въпрос получава конкретен отговор, и изградената от вас информация е това, което позволява на някого да даде такъв, без да иска тайните ви.