Mae VPN yn cysylltu gartref ond yn goramseru ar Wi-Fi gwesty
Yr un gliniadur, yr un cyfrif, rhwydwaith gwahanol. Darllenwch y cod gwall fel cam, gwiriwch yr enw, yna dal y pecyn allanol cyn newid unrhyw osodiad.
Mae'r gliniadur yn ymuno â Wi-Fi y cartref, mae'r cleient yn cysylltu mewn tair eiliad, ac mae'r un proffil yn methu yn y gwesty awr yn ddiweddarach. Ni chafodd dim ei ddiweddaru rhwng y ddau. Mae mynd drwy hyn gyda chleient o'ch blaen yn ymwneud yn bennaf â gwybod pa wall sy'n perthyn i ba gam, oherwydd mae'r wybodaeth ddefnyddiol yn y cod y mae'r cleient yn ei argraffu, nid yn y ffaith ei fod wedi methu. Ewch drwy'r pedwar cam isod yn eu trefn a byddwch yn gwybod ai enw, pecyn, porth neu bolisi a'ch gwrthododd.
Darllenwch y cod gwall fel cam, nid fel dedfryd
Mae'r cleient yn cyrraedd tri charreg filltir ar wahân cyn bod twnnel yn bodoli. Mae'n datrys enw'r gweinydd, mae'n cael ateb gan rywbeth ar y rhwydwaith, ac mae'n negydu cymdeithas diogelwch. Mae gan bob carreg filltir ei neges methiant ei hun, ac mae Windows yn arbennig o hael gyda chodau gwahanol unwaith y gwyddoch pa gam y maent yn perthyn iddo.
| What the client says | Stage that failed | First thing to run |
|---|---|---|
| 868, name did not resolve | DNS, before any packet leaves for the server | Resolve-DnsName vpn.example.net |
| 721 or 806, remote computer did not respond | Outer protocol filtered, typically GRE or UDP | A capture on the local interface |
| 809, server not responding | A device in the path is dropping the outer flow | The same capture, from a second network |
| 789, security layer error | The security exchange started and was rejected | Certificate and proposal settings on both ends |
Mae dau o'r codau hynny'n golygu bod y rhwydwaith yn ddieuog. Mae 789 yn golygu bod pecynnau'n llifo ac nad oedd y ddau ben yn cytuno ar amgryptio, sy'n broblem ffurfweddu y gallwch ei thrwsio gartref. Mae 868 yn golygu nad oedd angen i unrhyw becyn adael o gwbl, felly mae dyluniad y twnnel yn amherthnasol nes bod yr enw'n cael ei ddatrys. Mae didoli'r cod i'r cam cywir yn arbed mwy o amser nag unrhyw gipio, oherwydd mae'n dweud wrthych ba un o'r tri cham nesaf i'w hepgor.
Byddwch yn ofalus yn briodol os nad yw'r cleient yn Windows. Mae cleientiaid trydydd parti yn cydio'r rhan fwyaf o'r rhain yn "cysylltiad wedi methu", a dyna pam nad yw'r ddau gam nesaf yn dibynnu ar y neges o gwbl.
Gwiriwch yr enw cyn beio'r twnnel
Mae rhwydweithiau gwestai a meysydd awyr yn rhyng-gipio DNS yn gyson, ac mae datryswr sy'n ateb ag enw porth yn cynhyrchu methiant sy'n edrych yn union fel gweinydd marw. Cymharwch beth mae'r datryswr lleol yn ei ddweud â beth mae datryswr cyhoeddus yn ei ddweud:
Resolve-DnsName vpn.example.net -Type A
nslookup vpn.example.net 1.1.1.1
ipconfig /all | findstr /i "DNS Servers"Os yw'r ddau ateb yn wahanol, rydych yn cael eich llywio ac mae gweddill y diagnosis yn ofer nes bod hynny'n cael ei ddatrys. Yn arbennig, bydd enw porth yn derbyn y cysylltiad TCP yn fodlon ac yna'n stondio, a dyna pam y gall edrych fel bloc wal dân pan brofwch â phorwr.
Nawr cadarnhewch mai'r enw rydych yn bwriadu ei gyrraedd yw'r un sy'n cael ei ddefnyddio. Mae rhai cleientiaid yn cacheio'r datrysiad blaenorol am oes y proffil, felly mae ailgysylltu ar ôl y newid DNS yn dal i fynd i'r hen enw. Caewch y cleient yn llwyr cyn ailbrofi, yn hytrach na phwyso datgysylltu a chysylltu yn yr un ffenestr.
Darganfyddwch pa becyn allanol sy'n diflannu
Mae gan y twnnel lif allanol sy'n perthyn yn gyfan gwbl i'r llwybr rhyngoch chi a'r gweinydd, a'r llif hwnnw y mae blychau canol yn ei ddosbarthu a'i ollwng. Cipiwch ef ar y cleient, yna cymharwch rwydwaith sy'n gweithio â'r un sy'n methu. Ar Windows mae'r cipio adeiledig yn ddigon am gip olwg cyntaf:
pktmon filter remove
pktmon filter add -p 500 -t UDP
pktmon start --capture --pkt-size 128
pktmon stop
pktmon etl2txt PktMon.etlYr hyn rydych am ei weld yw a yw eich pecynnau'n gadael o gwbl, ac a oes unrhyw beth yn dod yn ôl. Pecynnau allan heb ddim yn ôl yn golygu bod y llwybr neu'r pen pell yn eu gollwng; dim byd allan o gwbl yn golygu na chyrhaeddodd y cleient y pwynt o anfon, sy'n cyfeirio'n ôl at ddatrys enwau neu at bolisi rhagwal lleol.
Ailadroddwch yr un prawf ar hotspot ffôn. Dyma'r gymhariaeth fwyaf gwybodus sydd ar gael i chi, oherwydd mae'n tynnu pob blwch yn y gwesty o'r llwybr tra'n cadw'r gliniadur, y cleient a'r manylion mewngofnodi yr un fath. Os yw'r twnnel yn codi ar y hotspot, stopiwch edrych ar y gweinydd. Os yw'n methu yno hefyd, mae gennych broblem cleient neu gyfrif nad oedd y rhwydwaith byth yn ei hachosi.
Newidiwch un cludydd ac ailbrofwch
Unwaith y gwyddoch fod y llif allanol yn cael ei ollwng, y cwestiwn ymarferol yw pa lif mae'r rhwydwaith yn ei ganiatáu. Mae'r rhan fwyaf o rwydweithiau cyfyngedig yn caniatáu TCP 443 allan oherwydd na allant weithredu fel arall, felly symud y gwrandawr yno yw'r ateb arferol. Ar OpenVPN mae hynny'n switsh ar ochr y cleient nes bod y gweinydd yn cael ei newid:
openvpn --config corp.ovpn --proto tcp-client --remote vpn.example.net 443 --verb 4Mae gan gleientiaid IPsec switsh cyfatebol yn eu paneli gosodiadau eu hunain, a ddisgrifir fel arfer fel IPsec dros TCP neu dramwy NAT. Mae newid hyn yn ddiagnosis hefyd: os yw'r twnnel yn codi dros TCP ac yn marw dros UDP, rydych wedi profi bod y rhwydwaith yn hidlo UDP, ac rydych hefyd wedi dod o hyd i'r gosodiad y byddwch ei angen bob tro y byddwch yn ymweld â'r safle hwnnw.
Gwrthwynebwch y temtasiwn i analluogi nodweddion llwybrydd ar yr ymgais gyntaf. Nid yw diffodd archwiliad cyflwr neu amddiffyniad rhag llifogydd ar rwydwaith gwesty ar gael i chi beth bynnag, ac ar eich offer eich hun mae'n cyfnewid amddiffyniad go iawn am un gliniadur. Nodwch pa osodiad a newidiodd y canlyniad, yna rhowch ef yn ôl a chwiliwch am gludydd y mae'r rhwydwaith eisoes yn ei ganiatáu.
Gwirwch yr un proffil ar yr ail rwydwaith
Cyn i chi gau'r tocyn, profwch fod y newid wedi goroesi gadael yr adeilad. Ailgysylltwch ar y rhwydwaith gwreiddiol gyda'r gosodiadau gwreiddiol, cipiwch y tri deg eiliad cyntaf, a chadarnhewch fod y cleient yn cyrraedd yr un cyflwr ag a gyrhaeddodd ar y hotspot:
pktmon filter add -p 443 -t TCP
pktmon start --capture
Get-VpnConnection -Name "Corp" | Select-Object ConnectionStatus, TunnelType, ServerAddressMae'r gwahaniaeth y mae'r gorchymyn olaf yn ei ddinoethi'n werth ei gadw: gall y proffil adrodd am dwnnel cysylltiedig tra bod y llwybro y tu mewn yn anghywir, ac mae hynny'n cynhyrchu "mae'r VPN i fyny ond nid oes dim yn gweithio", sy'n erthygl wahanol. Os newidiodd math y twnnel ar ôl eich golygiad, nid y proffil y gwnaethoch ei brofi yw hwn.
Yna ysgrifennwch y casgliad lle bydd y person nesaf yn edrych. Mae "mae angen TCP 443 ar y proffil corfforaethol yn y safle hwn; mae'r gwesty'n hidlo UDP 500" yn frawddeg y gall cydweithiwr weithredu arni. Nid yw "mae'r VPN yn anwadal mewn gwestai" felly, ac mae'n gwarantu y bydd yr un awr yn cael ei threulio eto fis nesaf.