La llista pública de VPN diu en línia; el teu client diu que no

Obres el directori, ordenes per velocitat, tries un node marcat com a en línia i el client es rendeix abans d’acabar de connectar. La llista no mentia, exactament. Informava del resultat de la sonda d’una altra persona, des d’una altra xarxa, en un moment anterior, contra un servei que un voluntari pot apagar en qualsevol moment. Entendre aquest buit converteix una cacera frustrant en una curta seqüència de comprovacions que pots executar sobre qualsevol candidat.

Què va mesurar realment la llista

Un directori públic guarda camps com l’hora de l’última comprovació, una xifra observada de temps d’anada i tornada, un recompte de sessions i de vegades una llista de protocols. Cadascun d’ells descriu l’última observació correcta des del punt de vista del projecte, no l’estat del node quan arriba el teu paquet.

La frescor importa més que la xifra. Un node comprovat fa quatre minuts i un node comprovat fa quatre hores poden mostrar el mateix marcador verd, i només un d’ells encara s’assembla a l’estat registrat. Busca la marca de temps, no el color.

L’operació voluntària afegeix una segona font de canvi que cap monitor pot arreglar. L’operador pot estar reiniciant un portàtil, quedant-se sense amplada de banda, canviant de proveïdor o simplement tancant la tapa. Una entrada de la llista és un candidat, i tractar-la com un acord de nivell de servei és un error de categoria.

Vigila les etapes del client, no l’indicador giratori

Cada client VPN passa per la mateixa seqüència àmplia: resoldre el nom, obrir una connexió de transport, negociar la seguretat, autenticar-se, i després configurar el túnel i passar dades. Una fallada a cada etapa deixa proves diferents, i l’indicador giratori no en mostra cap.

Comença per la resolució de noms. Si el nom d’amfitrió no es resol, no s’ha provat res sobre la disponibilitat del node, perquè la connexió no va sortir mai de la teva màquina. Després, el transport: un intercanvi TCP o UDP refusat o esgotat pel temps et diu que el punt final no respon en aquell port, que és una troballa real sobre el node. A continuació la negociació i l’autenticació, on un certificat equivocat, un perfil caducat o un xifratge que no encaixa fallen mentre el node és perfectament saludable. Només després de configurar el túnel, una fallada d’encaminament o DNS pot explicar l’últim pas.

Llegeix el registre del client amb la màxima verbositat que encara càpiga a la pantalla i anota l’última línia que va tenir èxit. Aquesta línia és on comença el diagnòstic, i normalment és més informativa que qualsevol cosa que mostri el directori.

Una variable per intent

Compara candidats amb el mateix client, la mateixa xarxa d’accés i el mateix format de perfil, canviant només el punt final. Altrament, una fallada podria ser teva i l’atribuiries al node.

Dos intents n’hi ha prou per establir un patró, i un tercer el confirma. Si el node A falla a l’etapa de transport i el node B falla a l’autenticació, tens dos problemes no relacionats en lloc d’una llista desactualitzada.

Quan tots els nodes fallen de la mateixa manera

Una fallada universal a la primera etapa assenyala el teu costat: un resolutor que no pot respondre, un tallafoc local que bloqueja el protocol o una xarxa que només permet trànsit web. El directori no ho pot informar, perquè les seves sondes no surten del teu seient.

Comprova deliberadament el cas de la xarxa modelada. Algunes xarxes d’accés permeten HTTPS cap al web i descarten altres protocols, cosa que fa que cada candidat sembli mort mentre la llista és exacta. Comparar la càrrega d’una pàgina al navegador amb un intent de connexió cru separa aquestes dues situacions en menys d’un minut.

Llegeix la fallada a l’etapa on va passar

Reprodueix l’intent des d’un terminal perquè les etapes siguin visibles. Les tres ordres de sota resolen el nom, proven si el port respon i imprimeixen les línies de negociació d’un perfil d’OpenVPN:

dig +short node.example.net
curl -s --max-time 5 telnet://node.example.net:443
openvpn --config node.ovpn --verb 4 2>&1 | grep -iE "TLS|AUTH|PUSH"

Si el port respon i la línia de negociació informa d’un problema de certificat, el node està actiu i el teu perfil és obsolet. Si el port no respon gens, l’entrada és un candidat que ha fallat, i passar al següent és la resposta correcta en lloc de depurar el teu client. Anota l’etapa en una línia curta, i el pròxim intent comença amb coneixement en lloc d’esperança.