Hvorfor en VPN kan se forbundet ud, mens intet virker

Din klient rapporterer forbundet, mens grænsefladen er oppe, og browseren timer ud, og ingen af de tre udsagn er falske. Forbundet beskriver et lag, der intet har at gøre med den side, du bad om. At afgøre, hvilket lag der rapporterer, kræver én ny anmodning og et blik på den tæller, der ville bevise, at trafikken flyttede sig. En genstart smider det bevis væk og genopbygger de forhold, du forsøgte at observere.

Tre forskellige ting kaldet forbundet

Nederst kan forbundet betyde, at en klientproces kører og holder en socket mod en peer. Oven over kan det betyde, at der findes en grænseflade med en adresse, som en permanent enhed eller en gendannelsesrutine kan oprette uden en levende session bag den. På kontrolniveau kan det betyde, at en associering blev forhandlet, hvilket intet siger om, hvorvidt en enkelt pakke er krydset under den. Hver af dem overlever fejl, som de andre ikke overlever, og en klient viser normalt den stærkeste, den kan påberåbe sig.

Et grønt ikon og en død tunnel er derfor forenelige snarere end modstridende; de rapporterer om forskellige objekter. Det er hele grunden til, at denne fejl hele tiden fejldiagnosticeres som en klientfejl.

Send én uskadelig anmodning til en destination, du faktisk har brug for, før du rører dæmonen, og hold den krævede blokering af direkte trafik på plads, mens du arbejder. En genstart sletter rækkefølgen af begivenheder og genskaber dem derefter tæt nok på til at skjule årsagen, og derfor kommer den samme sag tilbage en uge senere uden noget nyt i sig. Én anmodning, én tælleraflæsning og den udløser, der fremkaldte fejlen, er det mindste bevis.

Hvilken tæller beviser, at pakkerne flyttede sig

I IPsec er IKE-associeringen og CHILD-associeringen separate objekter, og kun child bærer de tællere, der besvarer dette spørgsmål. List child, se om pakkerne stiger i begge retninger, og sammenlign det med, hvad applikationen forsøger at gøre. En installeret associering på nul er et andet fund end en, der stiger, mens applikationen stadig fejler; det første betyder, at trafikken ikke vælges, det andet, at den bevæger sig, og at fejlen er længere fremme. Læs tællerne to gange med få sekunders mellemrum, fordi én prøve ikke kan vise en tendens.

swanctl --list-sas
ip xfrm state list
ip -s link show dev tun0

Nultællere peger på valg: routing, politik, et navnerum, som pakken forlod, eller en grænseflade, som klienten aldrig bandt sig til. Stigende tællere peger væk fra tunnelen, så fortsæt med videresendelse i den fjerne ende, navneopløsning, returvejen og destinationsservicen i den rækkefølge. En protokol uden et separat child-objekt blotlægger det samme bevis på sine egne betingelser, så brug det, den rapporterer om peer-tilstand og pakketal, i stedet for at låne IPsec-ordforrådet. Aflæsningens form betyder mere end det værktøj, der frembragte den.

Hvor fejlen sidder, efter at tællerne flytter sig

En gateway, der svarer på sin egen administrationsadresse, beviser, at gatewayen kører, ikke at noget bag den betjener din anmodning, så test den fjerne side i stedet for boksen i midten. Navneopløsning skjuler fejl bedst, fordi en resolver, der ikke kan nås gennem tunnelen, timer ud på en måde, der ser identisk ud med en død forbindelse. To opslag adskiller de tilfælde, og begge er billige. Spørg først den resolver, tunnelen skubber, og spørg derefter en offentlig resolver om det samme navn.

dig +short host.example
dig +short @10.20.0.1 host.example
ping -c 2 10.20.0.25

Et navn, der opløses gennem den offentlige resolver, men ikke gennem tunnelens resolver, betyder, at DNS-vejen er brudt, mens et navn, der opløses gennem begge og stadig timer ud i browseren, peger på returvejen eller på servicen. Hvis ping på adresse lykkes, og applikationen stadig afviser, leverede netværket anmodningen, og servicen afviste den, hvilket er en helt senere fase.

Notér udløseren, og skift så én ting

Notér, hvad der gik forud for fejlen: en periode med inaktivitet, en netværksændring, en nøglefornyelse, en genoptaget bærbar eller et gendannet system. De giver forskellige mekanismer, og kun det gendannede system reparerer normalt sig selv, hvilket netop er det tilfælde, der ikke lærer dig noget. En genstart fjerner rækkefølgen af begivenheder og genskaber derefter forhold, der er tæt nok på til at skjule årsagen. Skriv udløseren ned, mens den stadig kan genskabes.

Foretag så én understøttet rettelse, og gentag den oprindelige anmodning sammen med den udløser, der fremkaldte fejlen. Inaktivitet er den nemmeste udløser at genskabe, så det er den hurtigste bekræftelse på, at rettelsen ramte mekanismen og ikke symptomet.

Det, du vil rapportere, er bevis for, at den trafik, du mente at sende, nåede den service, du mente at nå. Et ikon, der bliver grønt, en cachet side, der indlæses, og en tæller, der flytter sig, beviser alle mindre end én fuldført anmodning mod den tilsigtede destination. Hold anmodningen, tælleraflæsningen og udløseren sammen, så den næste person kan skelne en rettelse fra en tilfældighed.