Eine Support-Anfrage zum Heim-VPN braucht einen Ablauf, keinen Konfigurationsauszug

Sie posten eine geschwärzte Konfiguration, erwähnen, dass das VPN nicht funktioniert, und bekommen sechs Antworten zu sechs verschiedenen Dingen. Das Problem ist meist die Anfrage, nicht die Leser. Ein Helfer kann einer Konfiguration nicht entnehmen, ob der Tunnel nicht aufgebaut wird, ob er aufgebaut wird, aber Verkehr verwirft, oder ob er einwandfrei läuft, während der Dateidienst dahinter die Verbindung ablehnt. Beschreiben Sie stattdessen einen Ablauf, mit drei Verantwortlichen und einem beobachteten Fehler, und die Antworten werden sofort besser.

Warum die Anfrage unbrauchbare Antworten bekommt

Eine Konfiguration beschreibt, was eingestellt ist. Sie beschreibt nicht, was Sie versucht haben, was passiert ist oder welche von mehreren Maschinen welche Aufgabe übernehmen soll. Ohne das rät jeder Leser auf eine andere Stufe.

Der beispielhafte Fall ist ein reisender Laptop, der über das Heim-Gateway einen Dateidienst auf einem Heimserver erreichen soll. Geben Sie an, ob Gateway, VPN-Server und Dateiserver dieselbe Maschine oder drei Maschinen sind, denn diese eine Tatsache ändert fast jede Antwort.

Füllen Sie dieses Protokoll aus, bevor Sie posten

Goal: the one resource or operation that should work
Path: client -> access network -> VPN endpoint -> resource
Owners: who controls the client, the gateway and the resource
Software: product, version and protocol in use
Expected: what success would look like
Observed: exact non-secret error or response
Time and change: when it started and what changed
Control: one comparable operation that still works

Acht Zeilen, und die meisten Anfragen werden beantwortbar. Die Kontrollzeile ist die, die Leute weglassen: wenn das Surfen vom selben Laptop funktioniert, die Dateifreigabe aber nicht, verengt das das Problem auf die Routen des Tunnels oder auf den Dienst, und niemand muss fragen.

Halten Sie Ihre Bezeichnungen beim Schwärzen konsistent. Bewahren Sie den Unterschied zwischen öffentlichem Endpunkt, Tunneladresse und Heimsubnetz. Wenn sich zwei Bereiche überschneiden, halten Sie diese Beziehung sichtbar, statt jedes Netzwerk durch denselben Platzhalter zu ersetzen, denn die Überschneidung ist oft die Antwort.

Benennen Sie die fehlende Stufe, nicht das ganze Protokoll

Fünf Stufen lohnt es zu trennen: Namensauflösung, Verbindungsversuch, Authentifizierung, Tunnelaufbau und Zugriff auf die Ressource. Sagen Sie, welche Ihrer Meinung nach fehlgeschlagen ist und was Sie dort gesehen haben.

Fügen Sie einen kleinen Ausschnitt rund um das Ereignis ein, statt jede Debugdatei, die der Client erzeugen kann. Hundert Zeilen Handshake-Rauschen verbergen die eine Zeile, die sagt, dass der Zertifikatsname nicht übereinstimmte.

Halten Sie Beobachtung und Erklärung getrennt. „Der Client meldet nach 30 Sekunden einen Handshake-Timeout“ ist eine Beobachtung; „ich glaube, der Anbieter blockiert UDP“ ist eine Theorie. Beides ist nützlich, und wer sie vermischt, lässt den Helfer nicht erkennen, welchem er trauen soll. Kennzeichnen Sie sie, und die Antwort, die Sie bekommen, wird die richtige adressieren.

Schicken Sie sie an den Verantwortlichen, der handeln kann

Bei einem vom Arbeitgeber verwalteten Laptop beginnen Sie mit dem unterstützten Kanal des Arbeitgebers, denn ein Community-Forum kann dessen Richtlinie nicht ändern. Bei einem kommerziellen VPN-Dienst nennen Sie Produkt und Konto privat statt öffentlich. Bei Ihrem eigenen Gateway nennen Sie die Router- und Serverrollen, die Sie kontrollieren.

Wenn Sie eine öffentliche Community nutzen, wählen Sie eine, deren aktueller Zuschnitt zur Aufgabe passt. Ein alter Thread über Forumsregeln ist kein Supportvertrag, und eine fünf Jahre alte Antwort zu einer Protokollversion, die Sie nicht betreiben, ist es auch nicht.

Schwärzen Sie Geheimnisse, ohne die Topologie zu plätten

Entfernen Sie private Schlüssel, Passwörter, Token und Links mit Zugangsdaten, bevor etwas Ihre Maschine verlässt. Ein Diagnoseexport und eine vollständige Konfiguration sind verschiedene Artefakte, selbst wenn die Dateinamen ähnlich aussehen, und das Eingefügte kann einen vorab geteilten Schlüssel enthalten.

Behalten Sie dann die Beziehungen, die den Ablauf verständlich machen. RFC 6973 behandelt unnötige Erhebung und Verknüpfung als Datenschutzfragen, und dasselbe Prinzip gilt hier: teilen Sie die Belege, die der Empfänger braucht, nicht die ganze Maschine.

Schließen Sie mit einer beantwortbaren Frage zur beobachteten Abweichung, etwa warum der Client die Authentifizierung abschließt und dann nie eine Route erhält. Eine konkrete Frage bekommt eine konkrete Antwort, und das Protokoll, das Sie erstellt haben, ist das, was jemandem erlaubt, eine zu geben, ohne nach Ihren Geheimnissen zu fragen.