VPN konektita sed unu servo fiaskas: izolu la etapon

«Konektita» estas la plej malinforma fakto en VPN-bileto. Ĝi registras, ke du partneroj finis manpremon, kaj nenion pri la nomo demandita, la interfaco tra kiu la paketo eliris, ĝia grando, aŭ ĉu la fora flanko akceptis ĝin. Tial unu servo povas fiaski dum ĉiu alia aplikaĵo sur la sama tekkomputilo funkcias. Trapasu la etapojn laŭvice kaj la unua fiaskanta nomos la difekton.

Komencu per la nomo, ne per la tunelo

Solvu antaŭ ol enkursigi, ĉar malbona respondo senigas ĉiun postan teston je senco. Demandu la nomon per la sistema solvilo kaj komparu tiun respondon kun la adreso, kiun la aplikaĵo efektive uzis. Privata nomo, kiu revenas kiel publika adreso, signifas ke la demando iris al solvilo, kiu nenion rajtas respondi pri ĝi. Nomo, kiu ne solviĝas, estas la sama kategorio, nur pli laŭta.

resolvectl query host.internal
getent hosts host.internal

Retumiloj kun propra agordo de sekura DNS fiaskas ĉi tie dum la resto de la sistemo funkcias. Tial plendo nur pri la retumilo unue apartenas al ĉi tiu etapo, antaŭ ol iu tuŝas itineron. Komparu ambaŭ komandojn, ne unu, ĉar getent sekvas la vojon NSS kaj la solvila demando ne.

Demandu la kernon, kiun vojon ĝi elektis

La enkursiga tabelo estas ordo de preferoj, kaj la vojo elektita de la kerno ne ĉiam estas tiu de la diagramo. Demandu ĝin rekte pri la koncerna celo. La respondo nomas la interfacon, la sekvan salteton kaj la fontan adreson, kiu estos uzata. Paketo povas eliri tra la tunelo portante fontan adreson, kiun la fora flanko rifuzas, kaj pli specifa rikordo en la fizika tabelo povas sendi ĝin tra la Wi-Fi-interfaco anstataŭe.

ip route get 10.20.30.40
ip -brief address show

Legu la kampojn dev, via kaj src en tiu ordo, ĉar ĉiu forigas alian suspekton. Ĉi tiu etapo ankaŭ posedas la staton, kiun la kliento instalis, ĉar fajroŝirmilaj reguloj kaj itineroj povas resti post nenormala eliro. Tial «neniu interreto sen la tunelo» kaj «neniu interreto se la kliento ne funkcias» estas unu familio de difektoj, ne du.

Testu la paketan grandecon

Malgranda respondo, kiu revenas dum granda transigo haltas, montras unue al la MTU de la vojo. Unu provo kun la bito do-not-fragment agordita, sendita el interne de la tunelo, apartigas ĉi tiun etapon de la ceteraj. Altigu la utilan ŝarĝon ĝis la provo fiaskos kaj vi havos la nombron, kiu gravas.

ping -M do -s 1400 10.20.30.40

Malgrandaj provoj sukcesas dum dosieruja listo aŭ alŝuto pendas — tio estas la subskribo de ĉi tiu etapo. La plendo sonas kiel akreditiloj aŭ fajroŝirmila regulo, kaj ĝi estas nek unu nek la alia.

La nombro estas eco de la vojo, ne de la kliento, do valoro, kiu funkcias en oficeja konekto, povas fiaski en poŝa ligo. Konservu la provan komandon kun la bileto, ĉar la sekva persono bezonas la saman mezuron. Se pli malgranda ŝarĝo pasas, la solvo estas clamp aŭ pli malalta tunela MTU, ne nova ĉifro.

Testu la foran flankon

Testu la celon per ĝia adreso, poste rigardu, kio aŭskultas tie. Rifuzita konekto kaj konekto, kiu neniam respondas, estas malsamaj trovaĵoj. La unua diras, ke io funkcias kaj ne servas tiun pordon, kaj la dua diras, ke nenio revenis. Nek unu nek la alia estas klienta problemo defaŭlte.

curl -sv http://10.20.30.41:8080/health
nc -vz -w 3 10.20.30.41 3389
ss -lnt 'sport = :8080'

Nenio atingebla tra tunelo povas esti servo aŭskultanta nur ĉe 127.0.0.1, ĉar la aŭskultanto neniam vidas la paketon. Kiam la fajroŝirmilo de la fora gastiganto permesas la oficejan subreton kaj rifuzas la tunelan naĝejon, la rezulto aspektas kiel klienta difekto kaj ne estas. Fora labortablo aŭ dosiera kunhavigo rompiĝas dum reta trafiko pluvivas — kutime ĝi finiĝas ĉi tie, kiel ajn la uzanto esprimas ĝin.

Mapu la plendon al unu etapo

Plej multaj raportoj falas en unu el kvin formoj, kaj ĉiu formo nomas etapon. Unu retejo, kiu funkcias nur tra la tunelo, estas nomrespondo aŭ politiko ligita al la fonta adreso. Ĝisdatigoj fiaskas sen la tunelo dum retumado funkcias — tio estas nomo- aŭ itinera problemo por tiu kliento.

Tio, ke ĉio haltas kiam ekfunkcias provizanta kliento, estas instalita stato, do demando pri itinero kaj fajroŝirmilo. Unu servo neatingebla dum la resto bonas estas la fora flanko. Transigoj haltantaj post kelkaj sekundoj estas paketa grando. Kongruigu la formon antaŭ ol ruli komandojn, ĉar ĝi decidas, kiujn pruvojn kolekti unue.

Notu la etapon, kiu produktis la unuan fiaskon, kune kun la eligo de la komando. Bileto, kiu diras ke la fonta adreso estis malĝusta, kun la itinera linio alkroĉita, indas agi pri ĝi, dum unu, kiu raportas la VPN kiel rompitan, ne.