Proč může VPN vypadat připojená, když nic nefunguje

Váš klient hlásí připojeno, rozhraní je nahoře a prohlížeč vyprší, a žádné z těch tří tvrzení není nepravdivé. Připojeno popisuje vrstvu, která nemá nic společného se stránkou, kterou jste si vyžádali. Rozhodnout, která vrstva hlásí, vyžaduje jeden nový požadavek a jeden pohled na počítadlo, které by dokázalo, že provoz šel. Restart tuto evidenci zahodí a znovu vytvoří podmínky, které jste se snažili pozorovat.

Tři různé věci zvané připojeno

Dole může připojeno znamenat, že běží proces klienta a drží soket k protějšku. Výše to může znamenat, že existuje rozhraní s adresou, které trvalé zařízení nebo rutina obnovy mohou vytvořit bez živé relace za ním. Na řídicí úrovni to může znamenat, že byla vyjednána asociace, což nic neříká o tom, zda pod ní přešel jediný paket. Každé z nich přežívá selhání, která ostatní nepřežívají, a klient obvykle zobrazuje nejsilnější, které může tvrdit.

Zelená ikona a mrtvý tunel jsou tedy slučitelné, nikoli protichůdné; hlásí o různých objektech. To je celý důvod, proč je tato porucha stále znovu chybně diagnostikována jako chyba klienta.

Pošlete jeden neškodný požadavek na cíl, který skutečně potřebujete, než se dotknete démona, a během práce ponechte požadovaný blok přímého provozu na místě. Restart maže pořadí událostí a poté je znovu vytváří dostatečně blízko, aby skryl příčinu, a proto se stejný tiket vrací o týden později a nic nového v něm není. Jeden požadavek, jedno odečtení počítadla a spouštěč, který poruchu vyvolal, jsou minimální důkaz.

Které počítadlo dokazuje, že pakety šly

V IPsec jsou asociace IKE a asociace CHILD samostatné objekty a pouze child nese počítadla, která na tuto otázku odpovídají. Vypište child, sledujte, zda pakety rostou v obou směrech, a porovnejte to s tím, co se aplikace snaží dělat. Nainstalovaná asociace na nule je jiné zjištění než ta, která roste, zatímco aplikace stále selhává; první znamená, že provoz není vybírán, druhé, že se pohybuje a porucha je dál. Přečtěte počítadla dvakrát, několik sekund od sebe, protože jeden vzorek nemůže ukázat trend.

swanctl --list-sas
ip xfrm state list
ip -s link show dev tun0

Nulová počítadla ukazují na výběr: směrování, politiku, jmenný prostor, ze kterého paket odešel, nebo rozhraní, ke kterému se klient nikdy nepřipoutal. Rostoucí počítadla ukazují pryč od tunelu, takže pokračujte předáváním na vzdálené straně, překladem jmen, zpětnou cestou a cílovou službou, v tomto pořadí. Protokol bez samostatného objektu child vystavuje stejný důkaz svými vlastními pojmy, takže použijte, co hlásí o stavu protějšku a počtu paketů, místo abyste si půjčovali slovní zásobu IPsec. Tvar odečtu je důležitější než nástroj, který jej vytvořil.

Kde porucha sedí poté, co se počítadla pohnou

Brána, která odpovídá na vlastní správcovské adrese, dokazuje, že brána běží, ne že něco za ní obsluhuje váš požadavek, takže testujte vzdálenou stranu, ne krabici uprostřed. Překlad jmen skrývá poruchy nejlépe, protože resolver, který není přes tunel dosažitelný, vyprší stejně jako mrtvé spojení. Dva dotazy tyto případy oddělují a oba jsou levné. Nejprve se zeptejte resolveru, který tunel protlačuje, poté se zeptejte veřejného resolveru na stejné jméno.

dig +short host.example
dig +short @10.20.0.1 host.example
ping -c 2 10.20.0.25

Jméno, které se přeloží přes veřejný resolver, ale ne přes tunelový, znamená, že cesta DNS je přerušená, zatímco jméno, které se přeloží přes oba a v prohlížeči stále vyprší, ukazuje na zpětnou cestu nebo na službu. Pokud ping na adresu uspěje a aplikace přesto odmítá, síť požadavek doručila a služba jej odmítla, což je zcela pozdější fáze.

Zaznamenejte spouštěč, poté změňte jednu věc

Zaznamenejte, co poruše předcházelo: období nečinnosti, změnu sítě, obnovu klíče, probuzený notebook nebo obnovený systém. Ty produkují různé mechanismy a obvykle se sám opraví jen obnovený systém, což je právě případ, který vás nic nenaučí. Restart odstraňuje pořadí událostí a poté znovu vytváří podmínky dostatečně blízko, aby skryl příčinu. Zapište spouštěč, dokud je ještě reprodukovatelný.

Poté proveďte jednu podloženou opravu a zopakujte původní požadavek spolu se spouštěčem, který poruchu vyvolal. Nečinnost je nejsnáze reprodukovatelný spouštěč, takže je nejrychlejším potvrzením, že oprava řešila mechanismus, nikoli symptom.

Chcete nahlásit důkaz, že provoz, který jste chtěli odeslat, dorazil do služby, do které jste chtěli dorazit. Ikona, která zezelená, stránka z mezipaměti, která se načte, a počítadlo, které se pohne, všechny dohromady dokazují méně než jeden dokončený požadavek proti zamýšlenému cíli. Držte požadavek, odečet počítadla a spouštěč pohromadě, aby další člověk rozeznal opravu od náhody.