Kial funkcianta VPN ankoraŭ tempas je la respondo
Peto, kiu atingas privatan servilon, estas nur duono de la interŝanĝo. Ĝia respondo devas trovi la tunelklienton tra la celita pordego, itinero aŭ traduko.
La peto alvenas, la servilo enskribas ĝin, kaj la kliento ankoraŭ raportas tempoŝton. Tiu kombinaĵo signifas, ke la respondo ne trovis sian vojon reen, kaj ĝi estas unu el la malmultaj paneoj, kiujn vi povas konfirmi el ambaŭ finoj samtempe. Faru la kontrolojn laŭorde kaj haltu, kiam unu el ili malsukcesas.
Komencu per tio, kie alvenis la peto
Konfirmu, ke la pakaĵo atingis la servon antaŭ ol vi ekzamenos ion alian. Enspezo en la servila protokolo, konekta nombrilo aŭ permesita kapto ĉe la fora fino ĉiuj respondas la saman demandon, kaj ilia foresto resendas vin al la tunelo anstataŭ antaŭen al la respondo. Tio estas la kontrolo, kiu apartigas plusendan problemon disde revena itinera problemo.
Se la peto neniam alvenis, haltu ĉi tie. La tunelo, la itinera direktado al la privata prefikso aŭ la alirregularo estas la temo, kaj la responda vojo ankoraŭ ne gravas. Notu ankaŭ la fontan adreson, kiun la servilo vidis. Ĝi estas aŭ la banka adreso, kiun la kliento ricevis, aŭ tradukita adreso, kaj tiu diferenco determinas, kiun el la postaj kontroloj apliki.
La respondo bezonas itineron al la banko
Kliento de fora aliro kutime ricevas adreson el banko, kaj la privata reto bezonas itineron reen al tiu banko. Servilo, kies apriora itinero montras al sia propra pordego, transdonas la pakaĵon al tiu pordego, kiu havas neniun ideon, kie troviĝas la banko, do la respondo pereas tie. La kliento vidas tempoŝton ĉar nenio revenis, kio ne distingiĝas de peto, kiu neniam eliris.
Kontrolu la itineron, kiun la servilo elektas por la klienta adreso, ne la itineron, kiun ĝi uzas por sia propra subreto. Tiuj du serĉoj povas doni malsamajn respondojn, kaj la dua estas la grava ĉi tie. Traduko estas la alternativa dezajno kaj ĝi ŝanĝas tion, kion la servilo vidas. Ĝi povas simpligi revenan vojon, kaj ĝi ankaŭ forigas la originan klientan adreson el la protokoloj de la servilo, kio efikas al ĉiu regularo aŭ raporto konstruita sur tiu kampo.
Komparu la kapton ĉe la servilo kun la kapto ĉe la pordego
Komparu tion, kio lasas la servilon, kun tio, kio alvenas ĉe la pordego. Kapto sur la elira interfaco de la servilo kaj kapto ĉe la tunela pordego respondas al malsamaj duonoj de la demando, kaj la breĉo inter ili lokalizas la perdon.
ip route get 10.90.0.14
tcpdump -ni any host 10.90.0.14 and port 443
ip route show table all | grep 10.90.0.0| Where the reply stops | What it proves |
|---|---|
| Request in the server log, nothing on its outbound capture | The server picked a gateway that cannot reach the pool |
| Reply leaves the server but never shows up at the gateway | Loss on the LAN path, not on the tunnel |
| Reply reaches the gateway but not the client | Return translation or tunnel policy, not the server route |
Peto generita de la pordego mem estas malbona anstataŭaĵo por klienta testo, ĉar ĝi originas el alia adreso kaj renkontas aliajn regulojn. Tial sukcesa ping el la pordego kaj malsukcesa peto el la kliento povas ambaŭ esti veraj.
Kie pluraj enkursigiloj sidas sur la vojo, kontrolu ĉiun, kiu bezonas itineron al la banko. Dezajno ejo-al-ejo ofte postulas, ke la fora prefikso estu konata sur pli ol unu aparato, kaj la pordego mem devas plusendi inter la tunelo kaj la loka reto; la plusendaj notoj de strongSwan kovras la flankon de sysctl kaj fajroŝirmilo de tio.
Notu la bankon, la prefikson kaj la posedanton
Kvar faktoj apartenas al la noto: la banko, kiun la kliento ricevis, la privata prefikso, kiun ĝi bezonis, la enkursigilo respondeca pri la respondo, kaj la traduka regulo, se ĝi ekzistas. Kun tiuj, posta pordega ŝanĝo estas komparo, ne enketo.
Poste retestu per ordinara kliento kaj la reala aplikaĵa konto. Larĝigi aplikaĵajn privilegiojn ne povas ripari la revenan vojon de pakaĵo, kaj konta ŝanĝo farita dum ĉi tiu diagnozo konfuzos la sekvan komparon. Se la dezajno dependas de traduko, dokumentu ĝin tie, kie oni legas la protokolojn de la servilo. Kiu vidas nekonatan fontan adreson en revizia spuro, ne devus retrovri la mapadon el bileto.