Το VPN συνδέεται αλλά οι συσκευές LAN δεν είναι προσβάσιμες: τι να ελέγξετε

Η κίνηση εισέρχεται στη σήραγγα, η πύλη απαντά στη δική της διεύθυνση και τίποτα πίσω της δεν απαντά. Αυτό το μοτίβο είναι συνηθισμένο και δεν είναι αντίφαση: μια απάντηση από την πύλη αποδεικνύει ότι η σήραγγα τερματίστηκε και δεν αποδεικνύει τίποτα για το τι συμβαίνει σε ένα πακέτο που απευθύνεται πέρα από αυτήν. Οι δύο δοκιμές ασκούν διαφορετικές διαδρομές κώδικα στο ίδιο μηχάνημα.

Από εδώ και πέρα δοκιμάστε κάτι στην άλλη πλευρά της πύλης. Η δική της διεύθυνση θα συνεχίσει να απαντά όσο χαλασμένη κι αν είναι η προώθηση.

Η πύλη απαντά από τη δική της στοίβα

Ένα πακέτο που απευθύνεται στην πύλη παραδίδεται στην τοπική διαδρομή εισόδου της, όπου ο πυρήνας αποφασίζει αν θα το δεχτεί ένας υποδοχέας που ακούει. Ένα πακέτο που απευθύνεται σε έναν κεντρικό υπολογιστή πίσω από την πύλη παραδίδεται αντίθετα στη διαδρομή προώθησης, όπου ισχύει ένα διαφορετικό σύνολο ελέγχων. Η προώθηση μπορεί να είναι εντελώς απενεργοποιημένη, ή ο πυρήνας μπορεί να την ενεργοποιήσει και μετά ένας κανόνας φίλτρου που δεν αναφέρει ποτέ τη σήραγγα να την απορρίψει. Τίποτα από αυτά δεν επηρεάζει τη δική της απάντηση της πύλης, γι’ αυτό το σύμπτωμα παραπλανά τόσο αξιόπιστα.

Οι σελίδες διαχείρισης που φτάνουν μέσω της σήραγγας ανήκουν επίσης στην πρώτη κατηγορία. Είναι απόδειξη για τη σήραγγα, όχι για το δίκτυο πίσω από αυτήν.

Ακολουθήστε τη ροή ως το πρώτο όριο που την απορρίπτει

Ξεκινήστε από τον πελάτη και επιβεβαιώστε τη διαδρομή και τη διεύθυνση προέλευσης που θα χρησιμοποιήσει η ροή. Στη συνέχεια παρατηρήστε την πύλη για την άφιξη αυτής ακριβώς της ροής και πάλι για την ίδια ροή που αναχωρεί προς το LAN. Αν δεν φτάσει ποτέ, το πρόβλημα είναι στην πλευρά του πελάτη ή στα επιτρεπόμενα προθέματα της σήραγγας. Αν φτάσει και δεν φύγει ποτέ, το πρόβλημα είναι στην προώθηση ή σε ένα φίλτρο της διαδρομής προώθησης, και η καταγραφή έχει ήδη πει ποιο από τα δύο.

Η εκτέλεση της ίδιας δοκιμής από την πύλη κρύβει το ενδιαφέρον μισό, γιατί ένα πακέτο που προέρχεται από την πύλη έχει άλλη πηγή και άλλη απαίτηση επιστροφής. Χρησιμοποιήστε τη ροή του πελάτη, με τη δική της διεύθυνση προέλευσης, σε κάθε βήμα. Μια καταγραφή στο λάθος περιβάλλον δικτύου παράγει σίγουρες ανοησίες.

Οι διαδρομές επιστροφής και τα τείχη προστασίας των κόμβων αποτυγχάνουν χωριστά

Μόλις το πακέτο φτάσει στον κόμβο, πρέπει να ισχύουν τρία ακόμη πράγματα. Η υπηρεσία πρέπει να ακούει στη διεύθυνση στην οποία στάλθηκε το πακέτο, το τείχος προστασίας του κόμβου πρέπει να το δεχτεί, και η απάντηση πρέπει να έχει διαδρομή επιστροφής προς τη δεξαμενή πελατών. Το τελευταίο αποτυγχάνει συχνά, γιατί η προεπιλεγμένη διαδρομή του κόμβου δείχνει σε έναν δρομολογητή που δεν άκουσε ποτέ για το εύρος της σήραγγας. Το αποτέλεσμα είναι μια σύνδεση που εγκαθίσταται από την οπτική γωνία του κόμβου και πεθαίνει σιωπηλά προς την άλλη κατεύθυνση.

Δοκιμάστε σκόπιμα τη διαδρομή επιστροφής στέλνοντας από τον πελάτη και παρατηρώντας την επιστροφή. Μια μονόδρομη καταγραφή λύνει σε δευτερόλεπτα ό,τι δεν λύνει μια ώρα εικασιών.

Επιβεβαιώστε κάθε άλμα με τη διεύθυνση προέλευσης του πελάτη

Εκτελέστε τους ελέγχους με τη σειρά και κρατήστε κάθε έξοδο, γιατί η αξία βρίσκεται στη σύγκριση και όχι σε οποιαδήποτε μεμονωμένη γραμμή. Οι παρακάτω εντολές καρφιτσώνουν τη διεύθυνση προέλευσης, δείχνουν τη διαδρομή που επιλέχθηκε και καταγράφουν και τις δύο πλευρές της προώθησης. Αντικαταστήστε τον δικό σας κόμβο LAN και τη διεπαφή της σήραγγας.

ip route get 192.168.50.20 from 10.8.0.2
ping -I 10.8.0.2 -c 3 192.168.50.20
sudo tcpdump -ni tun0 host 192.168.50.20
sudo tcpdump -ni br0 host 192.168.50.20

Το ερώτημα διαδρομής δείχνει αν ο πελάτης θα έστελνε καν αυτό το πακέτο στη σήραγγα, και το ping δείχνει αν επέστρεψε κάτι από τον κόμβο. Η σύγκριση των δύο καταγραφών χωρίζει την άφιξη από την έξοδο, αφού ένα πλαίσιο στη διεπαφή της σήραγγας χωρίς αντίστοιχο στη διεπαφή του LAN είναι απόφαση προώθησης και όχι αστοχία υπηρεσίας. Όταν και οι δύο καταγραφές δείχνουν το αίτημα και μόνο μία δείχνει την απάντηση, η διαδρομή επιστροφής είναι ο εναπομείνας ύποπτος.

Σημειώστε ποια διεύθυνση απάντησε και ποιος προωθημένος προορισμός απέτυχε. Αυτή η φράση κάνει την αναφορά εφαρμόσιμη αντί για τον ισχυρισμό ότι ο διακομιστής είναι απρόσιτος.