VPN povezan, ali jedna usluga ne radi: izolujte fazu

„Povezano“ je najmanje informativna činjenica u VPN tiketu. Ona bilježi da su dva para završila handshake i ništa o imenu koje je traženo, interfejsu kroz koji je paket otišao, njegovoj veličini ili tome da li ga je druga strana prihvatila. Zato jedna usluga može pasti dok svaka druga aplikacija na istom laptopu radi. Prođite kroz faze po redu i prva koja padne imenuje kvar.

Počnite s imenom, ne s tunelom

Razriješite prije nego što rutirate, jer loš odgovor čini svaki kasniji test besmislenim. Pitajte ime preko sistemskog resolvera i uporedite taj odgovor s adresom koju je aplikacija stvarno koristila. Privatno ime koje se vraća kao javna adresa znači da je upit otišao resolveru koji nema šta da odgovori. Ime koje se ne razrješava ista je kategorija, samo glasnija.

resolvectl query host.internal
getent hosts host.internal

Pretraživači s vlastitom postavkom sigurnog DNS-a padaju ovdje dok ostatak sistema radi. Zato pritužba koja se tiče samo pretraživača prvo pripada ovoj fazi, prije nego iko dira rutu. Uporedite obje komande, a ne jednu, jer getent slijedi NSS put, a upit resolveru ne.

Pitajte kernel koji je put odabrao

Tabela rutiranja je red preferencija, a put koji kernel odabere nije uvijek onaj sa dijagrama. Pitajte ga direktno za dotično odredište. Odgovor imenuje interfejs, sljedeći hop i izvornu adresu koja će se koristiti. Paket može otići kroz tunel noseći izvornu adresu koju druga strana odbija, a konkretniji unos u fizičkoj tabeli može ga poslati kroz Wi-Fi interfejs.

ip route get 10.20.30.40
ip -brief address show

Čitajte polja dev, via i src tim redom, jer svako uklanja drugu sumnju. Ova faza posjeduje i stanje koje je klijent instalirao, jer firewall pravila i rute mogu ostati nakon abnormalnog izlaska. Zato su „nema interneta bez tunela“ i „nema interneta ako klijent ne radi“ jedna porodica kvara, a ne dvije.

Testirajte veličinu paketa

Mali odgovor koji se vraća dok veliki prenos zastaje prvo ukazuje na MTU puta. Jedna proba s postavljenim do-not-fragment bitom, poslana iz tunela, odvaja ovu fazu od ostalih. Povećavajte payload dok proba ne padne i imate broj koji je važan.

ping -M do -s 1400 10.20.30.40

Male probe prolaze dok listanje direktorija ili upload visi — to je potpis ove faze. Pritužba zvuči kao akredencijali ili firewall pravilo, a nije ni jedno.

Broj je svojstvo puta, a ne klijenta, pa vrijednost koja radi na uredskoj vezi može pasti na mobilnom linku. Držite probnu komandu uz tiket, jer sljedeća osoba treba isto mjerenje. Ako manji payload prolazi, rješenje je clamp ili niži MTU tunela, a ne nova šifra.

Testirajte drugu stranu

Testirajte odredište po njegovoj adresi, pa pogledajte šta tamo sluša. Odbijena veza i veza koja nikad ne odgovori različiti su nalazi. Prva kaže da nešto radi i ne služi taj port, a druga da ništa nije vratilo. Niti jedno nije problem klijenta po defaultu.

curl -sv http://10.20.30.41:8080/health
nc -vz -w 3 10.20.30.41 3389
ss -lnt 'sport = :8080'

Ništa dostupno kroz tunel ne može biti usluga koja sluša samo na 127.0.0.1, jer listener nikad ne vidi paket. Kada firewall udaljenog hosta dopušta uredsku podmrežu i odbija tunelski pool, rezultat izgleda kao kvar klijenta i nije. Remote Desktop ili dijeljenje datoteka puca dok web saobraćaj preživljava — obično završi ovdje, kako god korisnik to sročio.

Preslikajte pritužbu na jednu fazu

Većina prijava svodi se na jedan od pet oblika, i svaki oblik imenuje fazu. Jedan sajt koji radi samo kroz tunel je odgovor imena ili politika vezana za izvornu adresu. Ažuriranja padaju bez tunela dok pregledanje radi — to je problem imena ili rute za tog klijenta.

Sve staje kada se pokrene klijent provajdera je instalirano stanje, što je pitanje rute i firewalla. Jedna usluga nedostupna dok je ostalo u redu je druga strana. Prenosi zastaju nakon nekoliko sekundi — to je veličina paketa. Uparite oblik prije pokretanja komandi, jer on odlučuje koji se dokazi prvi prikupljaju.

Zabilježite fazu koja je dala prvi kvar zajedno s izlazom komande. Tiket koji kaže da je izvorna adresa bila pogrešna, s priloženom linijom rute, vrijedi djelovanja, dok onaj koji prijavljuje da je VPN slomljen ne vrijedi.