Γιατί ένα VPN που λειτουργεί εξακολουθεί να λήγει στην απάντηση
Το αίτημα που φτάνει σε έναν ιδιωτικό διακομιστή είναι μόνο το μισό της ανταλλαγής. Η απάντησή του πρέπει να βρει τον πελάτη της σήραγγας μέσω της πύλης, της διαδρομής ή της μετάφρασης που προβλέπεται.
Το αίτημα φτάνει, ο διακομιστής το καταγράφει και ο πελάτης εξακολουθεί να αναφέρει λήξη χρόνου. Αυτός ο συνδυασμός σημαίνει ότι η απάντηση δεν βρήκε τον δρόμο της επιστροφής, και είναι μία από τις λίγες βλάβες που μπορείτε να επιβεβαιώσετε και από τις δύο άκρες ταυτόχρονα. Εκτελέστε τους ελέγχους με τη σειρά και σταματήστε όταν ένας από αυτούς αποτύχει.
Ξεκινήστε από το σημείο όπου έφτασε το αίτημα
Επιβεβαιώστε ότι το πακέτο έφτασε στην υπηρεσία πριν ελέγξετε οτιδήποτε άλλο. Μια εγγραφή στο αρχείο καταγραφής του διακομιστή, ένας μετρητής συνδέσεων ή μια επιτρεπόμενη σύλληψη στο απομακρυσμένο άκρο απαντούν όλα στο ίδιο ερώτημα, και η απουσία τους σας στέλνει πίσω στη σήραγγα και όχι μπροστά στην απάντηση. Αυτός είναι ο έλεγχος που διαχωρίζει ένα πρόβλημα προώθησης από ένα πρόβλημα διαδρομής επιστροφής.
Αν το αίτημα δεν έφτασε ποτέ, σταματήστε εδώ. Η σήραγγα, η δρομολόγηση προς το ιδιωτικό πρόθεμα ή ο κανόνας πρόσβασης είναι το θέμα, και η διαδρομή της απάντησης δεν είναι ακόμη σχετική. Σημειώστε επίσης τη διεύθυνση προέλευσης που είδε ο διακομιστής. Είναι είτε η διεύθυνση από τη δεξαμενή που έλαβε ο πελάτης είτε μια μεταφρασμένη διεύθυνση, και αυτή η διαφορά καθορίζει ποιος από τους επόμενους ελέγχους ισχύει.
Η απάντηση χρειάζεται διαδρομή προς τη δεξαμενή
Ένας πελάτης απομακρυσμένης πρόσβασης λαμβάνει συνήθως διεύθυνση από μια δεξαμενή, και το ιδιωτικό δίκτυο χρειάζεται διαδρομή επιστροφής προς αυτή τη δεξαμενή. Ένας διακομιστής του οποίου η προεπιλεγμένη διαδρομή δείχνει στη δική του πύλη παραδίδει το πακέτο σε αυτή την πύλη, η οποία δεν έχει ιδέα πού βρίσκεται η δεξαμενή, οπότε η απάντηση πεθαίνει εκεί. Ο πελάτης βλέπει λήξη χρόνου επειδή δεν επέστρεψε τίποτα, κάτι που δεν διακρίνεται από ένα αίτημα που δεν έφυγε ποτέ.
Ελέγξτε τη διαδρομή που επιλέγει ο διακομιστής για τη διεύθυνση του πελάτη και όχι τη διαδρομή που χρησιμοποιεί για το δικό του υποδίκτυο. Αυτές οι δύο αναζητήσεις μπορούν να δώσουν διαφορετικές απαντήσεις, και η δεύτερη είναι αυτή που μετράει εδώ. Η μετάφραση είναι ο εναλλακτικός σχεδιασμός και αλλάζει το τι βλέπει ο διακομιστής. Μπορεί να απλοποιήσει μια διαδρομή επιστροφής, και επίσης αφαιρεί την αρχική διεύθυνση του πελάτη από τα αρχεία καταγραφής του διακομιστή, κάτι που επηρεάζει κάθε κανόνα ή αναφορά που βασίζεται σε αυτό το πεδίο.
Συγκρίνετε τη σύλληψη στον διακομιστή με τη σύλληψη στην πύλη
Συγκρίνετε τι φεύγει από τον διακομιστή με τι φτάνει στην πύλη. Μια σύλληψη στη διεπαφή εξόδου του διακομιστή και μια σύλληψη στην πύλη της σήραγγας απαντούν σε διαφορετικά μισά του ερωτήματος, και το κενό μεταξύ τους εντοπίζει την απώλεια.
ip route get 10.90.0.14
tcpdump -ni any host 10.90.0.14 and port 443
ip route show table all | grep 10.90.0.0| Where the reply stops | What it proves |
|---|---|
| Request in the server log, nothing on its outbound capture | The server picked a gateway that cannot reach the pool |
| Reply leaves the server but never shows up at the gateway | Loss on the LAN path, not on the tunnel |
| Reply reaches the gateway but not the client | Return translation or tunnel policy, not the server route |
Ένα αίτημα που παράγεται από την ίδια την πύλη είναι φτωχό υποκατάστατο μιας δοκιμής από τον πελάτη, επειδή προέρχεται από άλλη διεύθυνση και συναντά άλλους κανόνες. Γι' αυτό ένα επιτυχές ping από την πύλη και ένα αποτυχημένο αίτημα από τον πελάτη μπορούν να ισχύουν ταυτόχρονα.
Όταν υπάρχουν πολλοί δρομολογητές στη διαδρομή, ελέγξτε καθέναν που χρειάζεται διαδρομή προς τη δεξαμενή. Ένας σχεδιασμός τοποθεσίας-σε-τοποθεσία απαιτεί συχνά το απομακρυσμένο πρόθεμα να είναι γνωστό σε περισσότερες από μία συσκευές, και η ίδια η πύλη πρέπει να προωθεί μεταξύ της σήραγγας και του LAN· οι σημειώσεις προώθησης του strongSwan καλύπτουν την πλευρά του sysctl και του τείχους προστασίας.
Καταγράψτε τη δεξαμενή, το πρόθεμα και τον υπεύθυνο
Τέσσερα γεγονότα ανήκουν στη σημείωση: η δεξαμενή που έλαβε ο πελάτης, το ιδιωτικό πρόθεμα που χρειαζόταν, ο δρομολογητής που ευθύνεται για την απάντηση και ο κανόνας μετάφρασης αν υπάρχει. Με αυτά, μια μεταγενέστερη αλλαγή πύλης είναι σύγκριση και όχι έρευνα.
Στη συνέχεια δοκιμάστε ξανά με έναν συνηθισμένο πελάτη και τον πραγματικό λογαριασμό της εφαρμογής. Η διεύρυνση των δικαιωμάτων της εφαρμογής δεν μπορεί να επιδιορθώσει τη διαδρομή επιστροφής ενός πακέτου, και μια αλλαγή λογαριασμού κατά τη διάρκεια αυτής της διάγνωσης θα μπερδέψει την επόμενη σύγκριση. Αν ο σχεδιασμός βασίζεται στη μετάφραση, τεκμηριώστε την εκεί όπου διαβάζονται τα αρχεία καταγραφής του διακομιστή. Όποιος βλέπει μια άγνωστη διεύθυνση προέλευσης σε ίχνος ελέγχου δεν θα έπρεπε να ξαναανακαλύπτει την αντιστοίχιση από ένα δελτίο.