La publika VPN-listo diras enline; via kliento diras ne

Vi malfermas la adresaron, ordigas laŭ rapideco, elektas nodon markitan kiel enline, kaj la kliento rezignas antaŭ ol fini la konekton. La listo ne mensogis, precize. Ĝi raportis la rezulton de la esploro de iu alia, el alia reto, en pli frua momento, kontraŭ servo, kiun volontulo povas malŝalti iam ajn. Kompreni tiun breĉon transformas lacigan ĉasadon en mallongan sinsekvon de kontroloj, kiujn vi povas ruli sur iu ajn kandidato.

Kion la listo efektive mezuris

Publika adresaro konservas kampojn kiel lastan kontrolhoron, observitan rondvojaĝan valoron, sesian nombron kaj foje protokolliston. Ĉiu el ili priskribas la lastan sukcesan observadon el la vidpunkto de la projekto mem, ne la staton de la nodo kiam via pako alvenas.

Freŝeco pli gravas ol la nombro. Nodo kontrolita antaŭ kvar minutoj kaj nodo kontrolita antaŭ kvar horoj povas montri la saman verdan markilon, kaj nur unu el ili ankoraŭ similas al la registrita stato. Serĉu la tempomarkon, ne la koloron.

Volontula funkciado aldonas duan fonton de ŝanĝo, kiun neniu monitoro povas ripari. La administranto eble restartigas tekkomputilon, elĉerpas bendolarĝon, ŝanĝas provizanton aŭ simple fermas la kovrilon. Lista ero estas kandidato, kaj trakti ĝin kiel interkonsenton pri servnivelo estas kategoria eraro.

Rigardu la etapojn de la kliento, ne la turniĝantan indikilon

Ĉiu VPN-kliento trapasas la saman larĝan sinsekvon: solvi la nomon, malfermi transportan konekton, negocadi sekurecon, aŭtentigi, poste agordi la tunelon kaj transdoni datumojn. Fiasko ĉe ĉiu etapo lasas malsamajn pruvojn, kaj la turniĝanta indikilo montras neniun el ili.

Komencu per nomosolvado. Se la gastignomo ne solviĝas, nenio pri la havebleco de la nodo estis testita, ĉar la konekto neniam forlasis vian maŝinon. Poste la transporto: rifuzita aŭ tempolimita TCP- aŭ UDP-interŝanĝo diras al vi, ke la finpunkto ne respondas ĉe tiu pordo, kio estas reala trovaĵo pri la nodo. Poste negocado kaj aŭtentigo, kie malĝusta atestilo, eksvalidiĝinta profilo aŭ neakorda ĉifro fiaskas dum la nodo estas tute sana. Nur post kiam la tunelo estas agordita, difekto en enkursigo aŭ DNS povas klarigi la lastan paŝon.

Legu la klientan protokolon je la plej alta detaleo, kiu ankoraŭ taŭgas sur la ekrano, kaj notu la lastan linion, kiu sukcesis. Tiu linio estas kie la diagnozo komenciĝas, kaj ĝi kutime estas pli informa ol io ajn, kion la adresaro montras.

Unu variablo por provo

Komparu kandidatojn kun la sama kliento, la sama alirreto kaj la sama profila formato, ŝanĝante nur la finpunkton. Alie fiasko povus esti via, kaj vi atribuos ĝin al la nodo.

Du provoj sufiĉas por konstati ŝablonon, kaj tria konfirmas ĝin. Se nodo A fiaskas ĉe la transporta etapo kaj nodo B fiaskas ĉe aŭtentigo, vi havas du sendependajn problemojn anstataŭ unu malaktualan liston.

Kiam ĉiu nodo fiaskas same

Universala fiasko ĉe la unua etapo montras al via flanko: solvilo, kiu ne povas respondi, loka fajroŝirmilo, kiu blokas la protokolon, aŭ reto, kiu permesas nur retan trafikon. La adresaro ne povas raporti tion, ĉar ĝiaj esploroj ne kuras de via sidejo.

Konscie testu la kazon de formita reto. Iuj alirretoj permesas HTTPS al la retejo kaj forĵetas aliajn protokolojn, kio igas ĉiun kandidaton ŝajni morta dum la listo estas preciza. Kompari paĝŝarĝon en retumilo kun kruda konekprovo apartigas tiujn du situaciojn en malpli ol minuto.

Legu la fiaskon ĉe la etapo, kie ĝi okazis

Ripetu la provon el terminalo, por ke la etapoj estu videblaj. La tri komandoj sube solvas la nomon, testas ĉu la pordo respondas, kaj presas la negocadliniojn el OpenVPN-profilo:

dig +short node.example.net
curl -s --max-time 5 telnet://node.example.net:443
openvpn --config node.ovpn --verb 4 2>&1 | grep -iE "TLS|AUTH|PUSH"

Se la pordo respondas kaj la negocadlinio raportas atestilan problemon, la nodo funkcias kaj via profilo estas malaktuala. Se la pordo tute ne respondas, la ero estas kandidato, kiu fiaskis, kaj transiri al la sekva estas la ĝusta respondo anstataŭ sencimigi vian klienton. Notu la etapon en mallonga linio, kaj la sekva provo komenciĝas per scio anstataŭ espero.