Který NAT skok zahodí mapování neaktivního VPN a jak to poznat
Neaktivní tok VPN může zemřít na každém skoku, který drží stav. Zopakujte jeden test, porovnejte, co viděla každá hranice, a nahlaste ohraničený výsledek místo odhadnutého viníka.
Po tichém období se tunel znovu připojí, žádný log nejmenuje viníka a zjevný krok je vybrat zařízení s nejpůsobivější dokumentací časového limitu. To je odhad převlečený za diagnózu. Stav může chvíli přežít v domácím routeru, v operátorském překladači a na okraji cloudu a kterýkoli z nich může zahodit tok, který ztichne. Místo toho můžete zmapovat cestu, označit, která zařízení skutečně můžete pozorovat, a provést jeden test nečinnosti, který lze zopakovat.
Opakovatelný test mění anekdotu v měření. Vše níže předpokládá jednoho klienta, jeden server a jeden protokol a předpokládá, že odoláte změně dvou proměnných najednou. Cílem je, aby další výskyt byl levnější než tento.
Provádějte pokaždé stejný test nečinnosti
Zapište, kdy byl tok naposledy v pořádku, jak dlouho potom zůstal nečinný a zda ho jeden čerstvý paket vrátil. Tyto tři skutečnosti jsou měření; bez nich máte příběh o notebooku, který spadl. Při každém opakování použijte stejného klienta, stejný server a stejný protokol a poznamenejte okamžik, kdy byl odeslán první paket po tichu.
Potom porovnejte, co skutečně viděla každá hranice, kterou vlastníte. Rozdíl, který rozhoduje vyšetřování, je, zda server po pauze neviděl vůbec nic, nebo zda požadavek viděl a odpověděl do cesty, která už odpovědi nenesla.
| What you observe | What it suggests | What it does not prove |
|---|---|---|
| server records no packet after the pause | state was lost upstream of the server | which hop dropped it |
| server answers, client never receives | return-path state or filtering | that the timer belongs to the client |
| client sends nothing at all | client-side timer or application behaviour | that the network path is healthy |
Porovnávání cest bez změny pěti věcí
Druhá schválená přístupová síť je legitimní srovnání, protože řetězec NAT se liší. Liší se také v poskytovateli, rádiových podmínkách a možná v adresní rodině, takže výsledek je hranice, nikoli přisouzení. Zaznamenejte omezení spolu s výsledkem, místo abyste je při hlášení tiše vynechali. Zapište si také cestu: zařízení, roli a zda lze jeho stav vůbec přečíst.
Srovnání cest vám koupí omezenou otázku: tok přežívá na jedné a umírá na druhé po podobném tichu, takže proměnná žije někde v částech, které se liší. To je skutečný výsledek, i když není pojmenováno žádné zařízení, a říká dalšímu inženýrovi, kde strávit odpoledne a kde ne.
Místní stav stojí za přečtení, než začnete spekulovat o operátorech. Na linuxové bráně conntrack -L vypisuje sledované toky s jejich zbývající životností, což mění odhad o časovači v číslo, které můžete sledovat, jak vyprší. Přečtěte si ho před obdobím nečinnosti i po něm, ne jen potom.
Co udrží udržovací signál a co ne
Podporovaný udržovací signál drží mapování otevřené, a otevřené mapování nic nedokazuje o službě za ním. Tunel může zůstat namapovaný, zatímco aplikace, kterou nese, už přestala odpovídat, a ze stavové kontrolky tyto dvě situace vypadají stejně. Berte udržovací signál jako pojistku proti vypršení nečinnosti, ne jako kontrolu zdraví.
Nastavte interval podle nejkratšího časového limitu, který jste skutečně naměřili, a ne podle čísla opsaného z fóra. Udržovací signál nastavený pod každý myslitelný časovač je provoz, který nikdo nepotřeboval, a také odstraní příznak, který by vám řekl, která hranice vyprší první. Vyberte interval z naměřeného čísla a všechno ostatní nechte být.
Jedna změna, pak měřte znovu
Odolejte nutkání zvednout všechny časové limity a vyprázdnit všechny brány během živého testu. To smaže důkazy, pro které jste přišli, a přeruší toky jiných lidí, což je špatná výměna za hypotézu, kterou jste neotestovali. Změňte jedno podporované nastavení na jednom zařízení, pak zopakujte období nečinnosti a obnovení aplikace.
Zaznamenejte, které pozorování hranice se posunulo, a zaznamenejte to, i když se nic nezlepšilo. Nastavení, které nic neopravilo, je informace a je levnější si toho všimnout jednou než to projet po celém areálu.
Jak napsat zjištění, které můžete obhájit
Když nelze překladač výše po cestě prohlédnout, řekněte jen to, co důkazy podporují: výměna umírá někde na tomto úseku cesty po tolika tichu a odpovědný skok zůstává nepřipsán. Ohraničené tvrzení přežije revizi a nasměruje dalšího člověka na správný segment. Nazvat skrytý router příčinou nedělá ani jedno z toho. Předejte ohraničené zjištění tomu, kdo vlastní nepozorovaný segment, s intervalem v příloze.
RFC 4787 popisuje, proč je obtížné odvodit časovače mapování UDP z jednoho koncového bodu, a právě tato obtíž dělá ohraničené zjištění poctivým. Časovače jsou skutečné, a stejně tak nejistota kolem nich.