Η δημόσια λίστα VPN λέει σε σύνδεση· ο πελάτης σας λέει όχι

Ανοίγετε τον κατάλογο, ταξινομείτε κατά ταχύτητα, επιλέγετε έναν κόμβο σημειωμένο ως σε σύνδεση, και ο πελάτης τα παρατάει πριν ολοκληρώσει τη σύνδεση. Η λίστα δεν έλεγε ψέματα, ακριβώς. Ανέφερε το αποτέλεσμα του ελέγχου κάποιου άλλου, από άλλο δίκτυο, σε προγενέστερη στιγμή, απέναντι σε μια υπηρεσία που ένας εθελοντής μπορεί να κλείσει οποιαδήποτε στιγμή. Η κατανόηση αυτού του κενού μετατρέπει ένα εξαντλητικό κυνήγι σε μια σύντομη σειρά ελέγχων που μπορείτε να εκτελέσετε σε οποιονδήποτε υποψήφιο.

Τι μέτρησε στην πραγματικότητα η λίστα

Ένας δημόσιος κατάλογος κρατά πεδία όπως ώρα τελευταίου ελέγχου, μια παρατηρημένη τιμή χρόνου μετάβασης, πλήθος συνεδριών και μερικές φορές λίστα πρωτοκόλλων. Κάθε ένα από αυτά περιγράφει την τελευταία επιτυχημένη παρατήρηση από τη σκοπιά του ίδιου του έργου, όχι την κατάσταση του κόμβου όταν φτάνει το πακέτο σας.

Η φρεσκάδα μετράει περισσότερο από τον αριθμό. Ένας κόμβος που ελέγχθηκε πριν από τέσσερα λεπτά και ένας κόμβος που ελέγχθηκε πριν από τέσσερις ώρες μπορούν να δείχνουν το ίδιο πράσινο σημάδι, και μόνο ένας από αυτούς μοιάζει ακόμη με την καταγεγραμμένη κατάσταση. Ψάξτε τη χρονική σήμανση, όχι το χρώμα.

Η εθελοντική λειτουργία προσθέτει μια δεύτερη πηγή αλλαγής που κανένα σύστημα παρακολούθησης δεν μπορεί να διορθώσει. Ο χειριστής μπορεί να επανεκκινεί ένα φορητό υπολογιστή, να του τελειώνει το εύρος ζώνης, να αλλάζει πάροχο ή απλώς να κλείνει το καπάκι. Μια καταχώριση στη λίστα είναι υποψήφιος, και το να τη θεωρείτε συμφωνία επιπέδου υπηρεσίας είναι σφάλμα κατηγορίας.

Παρακολουθήστε τα στάδια του πελάτη, όχι τον περιστρεφόμενο δείκτη

Κάθε πελάτης VPN περνά από την ίδια ευρεία ακολουθία: επίλυση ονόματος, άνοιγμα σύνδεσης μεταφοράς, διαπραγμάτευση ασφάλειας, πιστοποίηση, και μετά διαμόρφωση της σήραγγας και μετάδοση δεδομένων. Η αποτυχία σε κάθε στάδιο αφήνει διαφορετικά στοιχεία, και ο περιστρεφόμενος δείκτης δεν δείχνει κανένα από αυτά.

Ξεκινήστε με την επίλυση ονόματος. Αν το όνομα υπολογιστή δεν επιλύεται, δεν έχει ελεγχθεί τίποτα σχετικά με τη διαθεσιμότητα του κόμβου, επειδή η σύνδεση δεν άφησε ποτέ το μηχάνημά σας. Έπειτα η μεταφορά: μια απορριφθείσα ή ληγμένη ανταλλαγή TCP ή UDP σας λέει ότι το τελικό σημείο δεν απαντά σε εκείνη τη θύρα, που είναι πραγματικό εύρημα για τον κόμβο. Μετά διαπραγμάτευση και πιστοποίηση, όπου ένα λάθος πιστοποιητικό, ένα ληγμένο προφίλ ή ένας ασύμβατος κρυπταλγόριθμος αποτυγχάνουν ενώ ο κόμβος είναι απολύτως υγιής. Μόνο αφού διαμορφωθεί η σήραγγα μπορεί μια βλάβη δρομολόγησης ή DNS να εξηγήσει το τελευταίο βήμα.

Διαβάστε το αρχείο καταγραφής του πελάτη με την υψηλότερη λεπτομέρεια που χωρά ακόμη στην οθόνη, και σημειώστε την τελευταία γραμμή που πέτυχε. Αυτή η γραμμή είναι όπου αρχίζει η διάγνωση, και συνήθως είναι πιο κατατοπιστική από οτιδήποτε δείχνει ο κατάλογος.

Μία μεταβλητή ανά προσπάθεια

Συγκρίνετε υποψηφίους με τον ίδιο πελάτη, το ίδιο δίκτυο πρόσβασης και την ίδια μορφή προφίλ, αλλάζοντας μόνο το τελικό σημείο. Διαφορετικά μια αποτυχία μπορεί να είναι δική σας και θα την αποδώσετε στον κόμβο.

Δύο προσπάθειες αρκούν για να διαπιστωθεί ένα μοτίβο, και μια τρίτη το επιβεβαιώνει. Αν ο κόμβος A αποτυγχάνει στο στάδιο μεταφοράς και ο κόμβος B στην πιστοποίηση, έχετε δύο άσχετα προβλήματα αντί για μία παρωχημένη λίστα.

Όταν κάθε κόμβος αποτυγχάνει με τον ίδιο τρόπο

Μια καθολική αποτυχία στο πρώτο στάδιο δείχνει προς τη δική σας πλευρά: έναν επιλυτή που δεν μπορεί να απαντήσει, ένα τοπικό τείχος προστασίας που μπλοκάρει το πρωτόκολλο, ή ένα δίκτυο που επιτρέπει μόνο κίνηση ιστού. Ο κατάλογος δεν μπορεί να το αναφέρει, επειδή οι έλεγχοί του δεν εκτελούνται από τη θέση σας.

Ελέγξτε σκόπιμα την περίπτωση του διαμορφωμένου δικτύου. Ορισμένα δίκτυα πρόσβασης επιτρέπουν HTTPS προς τον ιστό και απορρίπτουν άλλα πρωτόκολλα, κάνοντας κάθε υποψήφιο να φαίνεται νεκρός ενώ η λίστα είναι ακριβής. Η σύγκριση φόρτωσης μιας σελίδας σε πρόγραμμα περιήγησης με μια ακατέργαστη προσπάθεια σύνδεσης διαχωρίζει τις δύο καταστάσεις σε λιγότερο από ένα λεπτό.

Διαβάστε την αποτυχία στο στάδιο όπου συνέβη

Αναπαράγετε την προσπάθεια από ένα τερματικό ώστε τα στάδια να είναι ορατά. Οι τρεις εντολές παρακάτω επιλύουν το όνομα, ελέγχουν αν απαντά η θύρα, και εκτυπώνουν τις γραμμές διαπραγμάτευσης από ένα προφίλ OpenVPN:

dig +short node.example.net
curl -s --max-time 5 telnet://node.example.net:443
openvpn --config node.ovpn --verb 4 2>&1 | grep -iE "TLS|AUTH|PUSH"

Αν η θύρα απαντά και η γραμμή διαπραγμάτευσης αναφέρει πρόβλημα πιστοποιητικού, ο κόμβος λειτουργεί και το προφίλ σας είναι παρωχημένο. Αν η θύρα δεν απαντά καθόλου, η καταχώριση είναι υποψήφιος που απέτυχε, και η μετάβαση στον επόμενο είναι η σωστή αντίδραση αντί να αποσφαλματώνετε τον πελάτη σας. Σημειώστε το στάδιο σε μια σύντομη γραμμή, και η επόμενη προσπάθεια ξεκινά από γνώση αντί για ελπίδα.