Per què una VPN que funciona encara fa temps d'espera a la resposta
Una petició que arriba a un servidor privat és només la meitat de l'intercanvi. La seva resposta ha de trobar el client del túnel per la passarel·la, la ruta o la traducció previstes.
La petició arriba, el servidor la registra i el client continua informant d'un temps d'espera esgotat. Aquesta combinació vol dir que la resposta no ha trobat el camí de tornada, i és una de les poques avaries que podeu confirmar des dels dos extrems alhora. Feu les comprovacions en ordre i atureu-vos quan una falli.
Comenceu per on ha arribat la petició
Confirmeu que el paquet ha arribat al servei abans d'inspeccionar res més. Una entrada al registre del servidor, un comptador de connexions o una captura permesa a l'extrem remot responen la mateixa pregunta, i la seva absència us torna al túnel en lloc d'avançar cap a la resposta. Aquesta és la comprovació que separa un problema de reenviament d'un problema de camí de tornada.
Si la petició no ha arribat mai, atureu-vos aquí. El túnel, l'encaminament cap al prefix privat o la regla d'accés són el tema, i el camí de la resposta encara no hi és rellevant. Anoteu també l'adreça d'origen que ha vist el servidor. És o bé l'adreça del pool que va rebre el client o una adreça traduïda, i aquesta diferència determina quina de les comprovacions posteriors s'aplica.
La resposta necessita una ruta cap al pool
Un client d'accés remot normalment rep una adreça d'un pool, i la xarxa privada necessita una ruta de tornada cap a aquest pool. Un servidor la ruta predeterminada del qual apunta a la seva pròpia passarel·la lliura el paquet a aquesta passarel·la, que no té ni idea d'on viu el pool, i la resposta mor allà. El client veu un temps d'espera perquè no ha tornat res, cosa indistingible d'una petició que no ha sortit mai.
Comproveu la ruta que el servidor tria per a l'adreça del client, no la ruta que fa servir per a la seva pròpia subxarxa. Aquestes dues consultes poden donar respostes diferents, i la segona és la que importa aquí. La traducció és el disseny alternatiu i canvia el que veu el servidor. Pot simplificar un camí de tornada, i també elimina l'adreça original del client dels registres del servidor, cosa que afecta qualsevol regla o informe construït sobre aquest camp.
Compareu la captura del servidor amb la captura de la passarel·la
Compareu què surt del servidor amb què arriba a la passarel·la. Una captura a la interfície de sortida del servidor i una captura a la passarel·la del túnel responen meitats diferents de la pregunta, i el buit entre elles localitza la pèrdua.
ip route get 10.90.0.14
tcpdump -ni any host 10.90.0.14 and port 443
ip route show table all | grep 10.90.0.0| Where the reply stops | What it proves |
|---|---|
| Request in the server log, nothing on its outbound capture | The server picked a gateway that cannot reach the pool |
| Reply leaves the server but never shows up at the gateway | Loss on the LAN path, not on the tunnel |
| Reply reaches the gateway but not the client | Return translation or tunnel policy, not the server route |
Una petició generada per la mateixa passarel·la és un mal substitut d'una prova des del client, perquè s'origina en una adreça diferent i troba regles diferents. Per això un ping correcte des de la passarel·la i una petició fallida des del client poden ser tots dos certs.
Quan hi ha diversos encaminadors al camí, comproveu cada un que necessiti una ruta cap al pool. Un disseny lloc a lloc sovint requereix que el prefix remot sigui conegut en més d'un dispositiu, i la passarel·la mateixa ha de reenviar entre el túnel i la LAN; les notes de reenviament de strongSwan cobreixen la part de sysctl i de tallafocs.
Anoteu el pool, el prefix i el responsable
A la nota hi van quatre fets: el pool que va rebre el client, el prefix privat que necessitava, l'encaminador responsable de la resposta i la regla de traducció si n'hi ha. Amb això, un canvi posterior de passarel·la és una comparació i no una investigació.
Després torneu a provar amb un client corrent i el compte real de l'aplicació. Ampliar els privilegis de l'aplicació no pot reparar el camí de tornada d'un paquet, i un canvi de compte fet durant aquest diagnòstic confondrà la comparació següent. Si el disseny depèn de la traducció, documenteu-lo on es llegeixen els registres del servidor. Qui veu una adreça d'origen desconeguda en una traça d'auditoria no hauria de redescobrir la correspondència a partir d'un tiquet.