VPN wedi cysylltu ond un gwasanaeth yn methu: ynysu’r cam

«Wedi cysylltu» yw’r ffaith leiaf addysgiadol mewn tocyn VPN. Mae’n cofnodi bod dau barti wedi gorffen handshake ac yn dweud dim am yr enw a holwyd, y rhyngwyneb y gadawodd y pecyn drwyddo, ei faint, na ph’un a dderbyniodd y pen pell ef. Dyna pam y gall un gwasanaeth fethu tra bo pob rhaglen arall ar yr un gliniadur yn gweithio. Cerddwch drwy’r camau yn eu trefn a’r cam cyntaf sy’n methu fydd yn enwi’r diffyg.

Dechreuwch gyda’r enw, nid y twnnel

Datryswch cyn llwybro, oherwydd mae ateb gwael yn gwneud pob prawf diweddarach yn ddiystyr. Gofynnwch am yr enw gyda datryswr y system a chymharwch yr ateb hwnnw â’r cyfeiriad a ddefnyddiodd y rhaglen mewn gwirionedd. Mae enw preifat sy’n dod yn ôl fel cyfeiriad cyhoeddus yn golygu bod yr ymholiad wedi mynd i ddatryswr nad oes ganddo fusnes i’w ateb. Mae enw nad yw’n datrys yr un categori, dim ond yn uwch.

resolvectl query host.internal
getent hosts host.internal

Mae porwyr sydd â’u gosodiad DNS diogel eu hunain yn methu yma tra bo gweddill y system yn gweithio. Dyna pam mae cwyn sy’n ymwneud â’r porwr yn unig yn perthyn i’r cam hwn gyntaf, cyn i unrhyw un gyffwrdd â llwybr. Cymharwch y ddau orchymyn yn hytrach nag un, oherwydd mae getent yn dilyn llwybr NSS ac nid yw’r ymholiad i’r datryswr.

Gofynnwch i’r cnewyllyn pa lwybr a ddewisodd

Mae’r tabl llwybro yn drefn ffafriaeth, ac nid yw’r llwybr a ddewisir gan y cnewyllyn bob amser yr un a ddangosir yn y diagram. Gofynnwch iddo’n uniongyrchol am y gyrchfan dan sylw. Mae’r ateb yn enwi’r rhyngwyneb, y naid nesaf a’r cyfeiriad ffynhonnell a ddefnyddir. Gall pecyn adael trwy’r twnnel yn cario cyfeiriad ffynhonnell y mae’r pen pell yn ei wrthod, a gall cofnod mwy penodol yn y tabl corfforol ei anfon allan trwy’r rhyngwyneb Wi-Fi yn lle hynny.

ip route get 10.20.30.40
ip -brief address show

Darllenwch y meysydd dev, via a src yn y drefn honno, oherwydd mae pob un yn dileu amheuaeth wahanol. Mae’r cam hwn hefyd yn berchen ar gyflwr a osododd y cleient, gan y gall rheolau firewall a llwybrau barhau ar ôl gadael annormal. Dyna pam mae «dim rhyngrwyd heb y twnnel» a «dim rhyngrwyd oni bai bod y cleient yn rhedeg» yn un teulu o ddiffygion, nid dau.

Profwch faint y pecyn

Mae ateb bach yn dod yn ôl tra bo trosglwyddiad mawr yn aros yn cyfeirio at MTU y llwybr yn gyntaf. Mae un prawf gyda’r bit do-not-fragment wedi’i osod, a anfonwyd o du mewn i’r twnnel, yn gwahanu’r cam hwn o’r gweddill. Codwch y payload nes bod y prawf yn methu ac mae gennych y rhif sy’n bwysig.

ping -M do -s 1400 10.20.30.40

Mae profion bach yn pasio tra bo rhestr cyfeiriadur neu lwythiad yn hongian — dyna lofnod y cam hwn. Mae’r gwyn yn swnio fel manylion mewngofnodi neu reol firewall, ac nid yw’n un o’r ddau.

Mae’r rhif yn briodwedd o’r llwybr yn hytrach na’r cleient, felly gall gwerth sy’n gweithio ar gysylltiad swyddfa fethu ar gysylltiad symudol. Cadwch y gorchymyn prawf gyda’r tocyn, oherwydd mae ar y person nesaf angen yr un mesuriad. Os yw payload llai yn pasio, y gwelliant yw clamp neu MTU twnnel is, nid seiffr newydd.

Profwch y pen pell

Profwch y gyrchfan wrth ei chyfeiriad, yna edrychwch beth sy’n gwrando yno. Mae cysylltiad a wrthodwyd a chysylltiad na fydd byth yn ateb yn ganfyddiadau gwahanol. Mae’r cyntaf yn dweud bod rhywbeth ar waith ac nad yw’n gwasanaethu’r porth hwnnw, a’r ail yn dweud na ddaeth dim yn ôl. Nid yw’r naill na’r llall yn broblem cleient yn ddiofyn.

curl -sv http://10.20.30.41:8080/health
nc -vz -w 3 10.20.30.41 3389
ss -lnt 'sport = :8080'

Ni all dim sy’n gyrraedd trwy dwnnel fod yn wasanaeth sy’n gwrando ar 127.0.0.1 yn unig, oherwydd nid yw’r gwrandawr byth yn gweld y pecyn. Pan fydd firewall y gwesteiwr pell yn caniatáu is-rwydwaith y swyddfa ac yn gwrthod pwll y twnnel, mae’r canlyniad yn edrych fel diffyg cleient ac nid yw. Mae Remote Desktop neu rannu ffeiliau yn torri tra bo traffig gwe yn goroesi — fel arfer mae’n glanio yma, sut bynnag y mae’r defnyddiwr yn ei fynegi.

Mapwch y gwyn i un cam

Mae’r rhan fwyaf o adroddiadau yn cwympo i un o bump o siapiau, ac mae pob siâp yn enwi cam. Mae un safle sy’n gweithio drwy’r twnnel yn unig yn ateb enw neu’n bolisi sy’n gysylltiedig â’r cyfeiriad ffynhonnell. Mae diweddariadau’n methu heb y twnnel tra bo pori’n gweithio — mae hynny’n broblem enw neu lwybr i’r cleient hwnnw.

Mae popeth yn stopio pan fydd cleient darparwr yn cychwyn yn gyflwr a osodwyd, sef cwestiwn llwybr a firewall. Mae un gwasanaeth yn anghyraeddadwy tra bo’r gweddill yn iawn yn y pen pell. Mae trosglwyddiadau’n aros ar ôl ychydig eiliadau — dyna faint y pecyn. Cyfatebwch y siâp cyn rhedeg gorchmynion, oherwydd mae’n penderfynu pa dystiolaeth i’w chasglu gyntaf.

Cofnodwch y cam a gynhyrchodd y methiant cyntaf ynghyd ag allbwn y gorchymyn. Mae tocyn sy’n dweud bod y cyfeiriad ffynhonnell yn anghywir, gyda llinell y llwybr ynghlwm, yn werth gweithredu arno, tra nad yw un sy’n adrodd bod y VPN wedi torri.