Το VPN λέει συνδεδεμένο αλλά τίποτα δεν δρομολογείται: δύο μέρη για έλεγχο

Μια σήραγγα μπορεί να αναφέρει ότι είναι συνδεδεμένη ενώ τίποτα δεν τη φτάνει, και τα δύο αυτά γεγονότα ζουν σε διαφορετικά σημεία. Το ένα είναι ο πίνακας διαδρομών, που μπορεί ακόμη να στέλνει πακέτα σε μια συσκευή που δεν ανήκει σε κανέναν. Το άλλο είναι ο επιλυτής, που μπορεί ακόμη να εμφανίζει έναν διακομιστή σε έναν σύνδεσμο που έφυγε. Η αλλαγή δικτύου δεν έβλαψε το προφίλ, άφησε την κατάσταση που ανήκε στην προηγούμενη σύνδεση ορφανή, και η επισκευή εξαρτάται από το ποιο από τα δύο κοιτάτε πραγματικά.

Πρώτα ρωτήστε τον πυρήνα ποια συσκευή θα χρησιμοποιούσε

Μια λίστα διαδρομών δείχνει τι υπάρχει· μια αναζήτηση διαδρομής δείχνει τι θα συνέβαινε. Ρωτήστε για μια δημόσια διεύθυνση και διαβάστε το όνομα της συσκευής στην απάντηση, γιατί αυτό το ένα πεδίο αποφασίζει αν το πακέτο φτάνει κάπου χρήσιμα. Όταν η απάντηση ονομάζει συσκευή σήραγγας, ο πυρήνας θα της παραδώσει τα πακέτα ακόμη και αν πίσω από αυτή τη διεπαφή δεν τρέχει πια διεργασία πελάτη. Όταν η απάντηση ονομάζει τον φυσικό προσαρμογέα ενώ ο πελάτης ισχυρίζεται ότι είναι συνδεδεμένος, η σήραγγα είναι σηκωμένη και απλώς δεν είναι η επιλεγμένη διαδρομή.

Η δεύτερη περίπτωση είναι η συνήθης αφού ένα καλώδιο αντικαταστήσει το ασύρματο, και παρουσιάζεται ως χαλασμένο VPN.

ip route show default
ip route get 203.0.113.9

Στη συνέχεια διαβάστε τις προεπιλεγμένες εγγραφές, γιατί μια διαδρομή που πρόσθεσε η προηγούμενη βασική σύνδεση μπορεί να επιβιώσει από μια αλλαγή συνδέσμου και να σταθεί μπροστά από τη νέα. Μια προεπιλεγμένη διαδρομή μέσω συσκευής που είναι κάτω είναι χειρότερη από καμία προεπιλεγμένη διαδρομή, γιατί ο πυρήνας εξακολουθεί να την προτιμά. Προσέξτε τη μετρική δίπλα σε κάθε εγγραφή, γιατί αυτή η σειρά εξηγεί την προτίμηση γρηγορότερα από τα ονόματα των διεπαφών.

Έπειτα διαβάστε τον επιλυτή ανά σύνδεσμο, όχι ανά αρχείο

Η επίλυση ονομάτων κουβαλά τη δική της κατάσταση και τη δική της παλαιότητα. Ένας επιλυτής που απαριθμεί διακομιστές DNS ανά σύνδεσμο κρατά τους διακομιστές μιας σύνδεσης σήραγγας που είναι κάτω αλλά ακόμη καταχωρισμένη, και κάθε αναζήτηση περιμένει τότε έναν διακομιστή που δεν θα απαντήσει. Το σύμπτωμα είναι ένα δίκτυο που μοιάζει νεκρό ενώ ο πίνακας διαδρομών φαίνεται άψογος.

Ελέγξτε την κατάσταση ανά σύνδεσμο και όχι το αρχείο, γιατί σε πολλές διανομές αυτό το αρχείο είναι συμβολικός δεσμός προς τον επιλυτή και η επεξεργασία του είτε δεν κάνει τίποτα είτε αντικαθίσταται γρήγορα. Δείτε ποιος σύνδεσμος κατέχει ποιους διακομιστές και ποιο πεδίο αναζήτησης, και μετά ρωτήστε αν ο σύνδεσμος της σήραγγας θα έπρεπε καθόλου να είναι ακόμη καταχωρισμένος. Αν όχι, απενεργοποιήστε τη σύνδεση που τον κατέχει αντί να επεξεργάζεστε με το χέρι μια παραγόμενη κατάσταση. Ένα όνομα που επιλύεται ενώ η αναζήτηση διαδρομής στέλνει τα πακέτα αλλού είναι ένα τρίτο και ξεχωριστό σφάλμα.

resolvectl status
resolvectl query app.internal.example

Αν οι διευθύνσεις επιλύονται και οι συνδέσεις αποτυγχάνουν, ο επιλυτής είναι εντάξει και η διαδρομή όχι. Αν οι διευθύνσεις δεν επιλύονται καθόλου, αυτό είναι το σωστό σημείο για να ξεκινήσετε.

Πώς μια παλιά διαδρομή επιβιώνει της αλλαγής

Ο πελάτης δεν κατέχει το δίκτυο μόνος του. Σε έναν κεντρικό υπολογιστή με NetworkManager ένα προφίλ VPN ενεργοποιείται πάνω από μια βασική σύνδεση, και οι ρυθμίσεις σύνδεσης επιτρέπουν σε αυτή τη βάση να ονομάσει το VPN που πρέπει να την ακολουθήσει. Όταν η βάση αλλάζει επειδή ένα άλλο προφίλ γίνεται προτιμότερο, η σήραγγα ακολουθεί στη νέα βάση ή μένει χωρίς καμία.

Ένα προφίλ VPN δεν σηκώνει τον εαυτό του, γι' αυτό το ζευγάρωμα μετράει πολύ περισσότερο από την προτίμηση αυτόματης σύνδεσης του ίδιου του προφίλ.

Διαβάστε την ενεργή λίστα και σημειώστε ποια βάση είναι σηκωμένη πριν αγγίξετε τη σήραγγα. Αν η βάση είναι στη λίστα και η σήραγγα όχι, η διαδρομή λείπει και δεν είναι παλιά, και η επισκευή είναι ενεργοποίηση. Αν η ενεργοποίηση της σήραγγας παραπονιέται ότι δεν υπάρχει σύνδεση πηγής, η βάση με την οποία ήταν ζευγαρωμένη έφυγε, άρα σηκώστε την πρώτα ή επισκευάστε το ζευγάρωμα αντί να ξαναδοκιμάσετε τη σήραγγα. Η επανάληψη σε ένα προφίλ του οποίου ο γονέας λείπει δίνει το ίδιο σφάλμα κάθε φορά, που είναι χρήσιμο σήμα και όχι ενόχληση.

nmcli device status
nmcli connection show --active
nmcli connection up office-vpn

Ξεχωρίστε την παλιά κατάσταση από έναν απόντα γονέα

Τρεις καταστάσεις εξηγούν σχεδόν κάθε αναφορά, και καθεμία χρειάζεται διαφορετική επισκευή. Μια προεπιλεγμένη διαδρομή μέσω συσκευής που υπάρχει ακόμη αλλά δεν μεταφέρει πια τη σήραγγα είναι παλιά κατάσταση, που καθαρίζεται είτε διαγράφοντας την εγγραφή είτε επανεκκινώντας το υπεύθυνο προφίλ. Μια συσκευή σήραγγας της οποίας η διεργασία πελάτη εξαφανίστηκε είναι αποτυχία καθαρισμού, άρα αξίζει προσοχή η διαδρομή αποσύνδεσης και όχι ο πίνακας διαδρομών. Καμία συσκευή σήραγγας σημαίνει ότι λείπει ο γονέας ή το ζευγάρωμα και ότι ο πίνακας διαδρομών δεν ενεπλάκη ποτέ.

Η επανεκκίνηση κρύβει ποια από τις τρεις είχατε, και γι' αυτό ακριβώς μοιάζει με επισκευή.

Μετά την επισκευή, ζητήστε από τον πυρήνα μία δημόσια και μία εσωτερική διεύθυνση, και μετά αναζητήστε ένα εσωτερικό όνομα. Όταν η διεύθυνση λειτουργεί και το όνομα όχι, βρήκατε πρόβλημα εύρους τομέα στον επιλυτή και όχι πρόβλημα δρομολόγησης. Σημειώστε ποια κατάσταση βρήκατε, γιατί η επόμενη αλλαγή δικτύου θα αναπαράγει αυτή που αφήσατε ήσυχη.