Veřejný seznam VPN hlásí online; váš klient říká ne

Otevřete adresář, seřadíte podle rychlosti, vyberete uzel označený jako online a klient to vzdá dřív, než dokončí připojení. Seznam úplně nelhal. Oznámil výsledek cizí kontroly, z jiné sítě, v dřívějším okamžiku, vůči službě, kterou dobrovolník může kdykoli vypnout. Pochopení této mezery promění vyčerpávající pátrání v krátkou řadu kontrol, které můžete spustit na kterémkoli kandidátovi.

Co seznam skutečně změřil

Veřejný adresář uchovává pole jako čas poslední kontroly, naměřenou hodnotu doby odezvy, počet relací a někdy seznam protokolů. Každé z nich popisuje poslední úspěšné pozorování z vlastního pohledu projektu, ne stav uzlu ve chvíli, kdy dorazí váš paket.

Čerstvost je důležitější než číslo. Uzel zkontrolovaný před čtyřmi minutami a uzel zkontrolovaný před čtyřmi hodinami mohou ukazovat stejnou zelenou značku a jen jeden z nich ještě připomíná zaznamenaný stav. Hledejte časové razítko, ne barvu.

Dobrovolnický provoz přidává druhý zdroj změn, který žádný monitor nedokáže opravit. Provozovatel možná restartuje notebook, dochází mu šířka pásma, mění poskytovatele nebo prostě zavírá víko. Záznam v seznamu je kandidát a považovat ho za dohodu o úrovni služeb je kategorická chyba.

Sledujte fáze klienta, ne točítko

Každý klient VPN prochází stejnou širokou posloupností: přeložit jméno, otevřít transportní spojení, vyjednat zabezpečení, ověřit identitu, poté nastavit tunel a přenášet data. Selhání v každé fázi zanechává jiné důkazy a točítko neukazuje žádný z nich.

Začněte překladem jména. Pokud se jméno hostitele nepřeloží, nic o dostupnosti uzlu nebylo otestováno, protože spojení nikdy neopustilo váš počítač. Dále transport: odmítnutá nebo časově vypršelá výměna TCP nebo UDP vám říká, že koncový bod na tom portu neodpovídá, což je skutečné zjištění o uzlu. Potom vyjednávání a ověřování, kde selže špatný certifikát, propadlý profil nebo neodpovídající šifra, zatímco uzel je zcela zdravý. Teprve po nastavení tunelu může poslední krok vysvětlit závada směrování nebo DNS.

Čtěte protokol klienta s nejvyšší podrobností, která se ještě vejde na obrazovku, a poznamenejte si poslední řádek, který uspěl. Právě na tom řádku začíná diagnóza a bývá poučnější než cokoli, co adresář zobrazuje.

Jedna proměnná na pokus

Porovnávejte kandidáty se stejným klientem, stejnou přístupovou sítí a stejným formátem profilu a měňte jen koncový bod. Jinak může být selhání vaše a přisoudíte ho uzlu.

Dva pokusy stačí k vytvoření vzorce a třetí ho potvrdí. Pokud uzel A selže ve fázi transportu a uzel B při ověřování, máte dva nesouvisející problémy, ne jeden zastaralý seznam.

Když každý uzel selhává stejně

Univerzální selhání v první fázi ukazuje na vaši stranu: překladač, který nedokáže odpovědět, místní firewall, který blokuje protokol, nebo síť, která povoluje jen webový provoz. Adresář to nemůže oznámit, protože jeho kontroly neběží z vašeho místa.

Záměrně otestujte případ tvarované sítě. Některé přístupové sítě povolují HTTPS na web a jiné protokoly zahazují, takže každý kandidát vypadá mrtvý, zatímco seznam je přesný. Porovnání načtení stránky v prohlížeči s hrubým pokusem o spojení oddělí tyto dvě situace za méně než minutu.

Čtěte selhání ve fázi, ve které nastalo

Zopakujte pokus z terminálu, aby byly fáze vidět. Tři příkazy níže přeloží jméno, otestují, zda port odpovídá, a vypíší řádky vyjednávání z profilu OpenVPN:

dig +short node.example.net
curl -s --max-time 5 telnet://node.example.net:443
openvpn --config node.ovpn --verb 4 2>&1 | grep -iE "TLS|AUTH|PUSH"

Pokud port odpovídá a řádek vyjednávání hlásí problém s certifikátem, uzel běží a váš profil je zastaralý. Pokud port vůbec neodpovídá, záznam je kandidát, který selhal, a přejít na další je správná reakce, místo ladění vašeho klienta. Poznamenejte fázi v krátkém řádku a další pokus začne ze znalosti, ne z naděje.