Javna VPN lista kaže online; vaš klijent kaže ne

Otvorite imenik, sortirate po brzini, odaberete čvor označen kao online, a klijent odustane prije nego što dovrši povezivanje. Lista nije baš lagala. Prijavila je rezultat tuđe provjere, s druge mreže, u ranijem trenutku, prema usluzi koju volonter može isključiti u bilo kojem trenutku. Razumijevanje te praznine pretvara iscrpljujuću potragu u kratak niz provjera koje možete izvesti na bilo kojem kandidatu.

Šta je lista zapravo izmjerila

Javni imenik čuva polja poput vremena posljednje provjere, izmjerene vrijednosti povratnog puta, broja sesija i ponekad liste protokola. Svako od njih opisuje posljednje uspješno opažanje iz vlastite perspektive projekta, a ne stanje čvora kada vaš paket stigne.

Svježina je važnija od broja. Čvor provjeren prije četiri minute i čvor provjeren prije četiri sata mogu pokazivati istu zelenu oznaku, a samo jedan od njih još liči na zabilježeno stanje. Tražite vremensku oznaku, a ne boju.

Volonterski rad dodaje drugi izvor promjena koji nijedan monitor ne može ispraviti. Operater možda restartuje laptop, ostaje bez propusnosti, mijenja ISP ili jednostavno zatvara poklopac. Unos na listi je kandidat, a tretirati ga kao ugovor o razini usluge jest kategorijska greška.

Pratite faze klijenta, a ne vrtuljak

Svaki VPN klijent prolazi kroz isti široki slijed: razriješiti ime, otvoriti transportnu vezu, pregovarati o sigurnosti, provesti autentifikaciju, zatim postaviti tunel i prenijeti podatke. Neuspjeh u svakoj fazi ostavlja različite dokaze, a vrtuljak ne pokazuje nijedan od njih.

Počnite s razrješavanjem imena. Ako se ime hosta ne razriješi, ništa o dostupnosti čvora nije testirano, jer veza nikada nije napustila vaše računalo. Zatim transport: odbijena ili istekla razmjena TCP ili UDP govori vam da krajnja točka ne odgovara na tom portu, što je stvarni nalaz o čvoru. Potom pregovaranje i autentifikacija, gdje pogrešan certifikat, istekao profil ili neusklađena šifra padaju dok je čvor potpuno zdrav. Tek nakon što je tunel postavljen, kvar usmjeravanja ili DNS može objasniti posljednji korak.

Čitajte zapisnik klijenta na najvišoj razini detalja koja još stane na zaslon i zabilježite zadnji redak koji je uspio. Taj redak je mjesto gdje dijagnoza počinje i obično je informativniji od svega što imenik prikazuje.

Jedna varijabla po pokušaju

Usporedite kandidate s istim klijentom, istom pristupnom mrežom i istim formatom profila, mijenjajući samo krajnju točku. Inače kvar može biti vaš, a vi ćete ga pripisati čvoru.

Dva pokušaja dovoljna su da se uspostavi obrazac, a treći ga potvrđuje. Ako čvor A padne u fazi transporta, a čvor B pri autentifikaciji, imate dva nepovezana problema, a ne jednu zastarjelu listu.

Kada svaki čvor padne na isti način

Univerzalni neuspjeh u prvoj fazi pokazuje na vašu stranu: razrješivač koji ne može odgovoriti, lokalni vatrozid koji blokira protokol ili mreža koja dopušta samo web promet. Imenik to ne može prijaviti jer njegove provjere ne kreću s vašeg mjesta.

Namjerno provjerite slučaj oblikovane mreže. Neke pristupne mreže dopuštaju HTTPS prema webu i odbacuju druge protokole, zbog čega svaki kandidat izgleda mrtav dok je lista točna. Usporedba učitavanja stranice u pregledniku sa sirovim pokušajem veze razdvaja te dvije situacije za manje od minute.

Pročitajte kvar u fazi u kojoj se dogodio

Ponovite pokušaj iz terminala kako bi faze bile vidljive. Tri naredbe u nastavku razrješavaju ime, provjeravaju odgovara li port i ispisuju retke pregovaranja iz OpenVPN profila:

dig +short node.example.net
curl -s --max-time 5 telnet://node.example.net:443
openvpn --config node.ovpn --verb 4 2>&1 | grep -iE "TLS|AUTH|PUSH"

Ako port odgovara, a redak pregovaranja prijavljuje problem s certifikatom, čvor je živ i vaš je profil zastario. Ako port uopće ne odgovara, unos je kandidat koji je pao i prelazak na sljedeći je ispravan odgovor, umjesto otklanjanja pogrešaka u vašem klijentu. Zabilježite fazu u kratkom retku i sljedeći pokušaj počinje sa znanjem, a ne s nadom.