VPN ühendatud, kuid üks teenus ei tööta: eralda etapp

„Ühendatud“ on VPN-piletis kõige vähem informatiivne fakt. See fikseerib, et kaks osapoolt lõpetasid handshake’i, ja ei ütle midagi päritud nime, liidese, mille kaudu pakett väljus, selle suuruse ega selle kohta, kas kaugpool selle vastu võttis. Seetõttu võib üks teenus alt vedada, samal ajal kui kõik teised rakendused samas sülearvutis töötavad. Käi etapid järjekorras läbi ja esimene, mis alt veab, nimetab vea.

Alusta nimest, mitte tunnelist

Lahenda enne marsruutimist, sest halb vastus muudab iga hilisema testi mõttetuks. Küsi nime süsteemi resolverilt ja võrdle seda vastust aadressiga, mida rakendus tegelikult kasutas. Privaatne nimi, mis tuleb tagasi avaliku aadressina, tähendab, et päring läks resolverile, kellel pole sellele vastata. Nimi, mida ei õnnestu lahendada, on sama kategooria, ainult valjem.

resolvectl query host.internal
getent hosts host.internal

Oma turvalise DNS-i seadega brauserid veavad siin alt, samal ajal kui ülejäänud süsteem töötab. Seetõttu kuulub ainult brauserit puudutav kaebus kõigepealt sellesse etappi, enne kui keegi marsruuti puutub. Võrdle mõlemat käsku, mitte ühte, sest getent järgib NSS-i teed ja resolveri päring mitte.

Küsi kernelilt, millise tee see valis

Marsruutimistabel on eelistuste järjekord ja kerneli valitud tee pole alati see, mida skeem näitab. Küsi sellelt otse kõnealuse sihtkoha kohta. Vastus nimetab liidese, järgmise hüppe ja allikaaadressi, mida kasutatakse. Pakett võib tunnelist väljuda allikaaadressiga, mille kaugpool tagasi lükkab, ja füüsilise tabeli täpsem kirje võib selle hoopis Wi-Fi-liidese kaudu välja saata.

ip route get 10.20.30.40
ip -brief address show

Loe välju dev, via ja src selles järjekorras, sest igaüks välistab erineva kahtluse. See etapp haldab ka olekut, mille klient paigaldas, sest tulemüürireeglid ja marsruudid võivad pärast ebanormaalset väljumist püsida. Seetõttu on „internetita ilma tunnelita“ ja „internetita, kui klient ei tööta“ üks veaperekond, mitte kaks.

Testi paketi suurust

Väike vastus, mis tuleb tagasi, samal ajal kui suur ülekanne takerdub, osutab kõigepealt tee MTU-le. Üks sond seadistatud do-not-fragment-bitiga, tunnelist seest saadetud, eraldab selle etapi ülejäänutest. Tõsta koormust, kuni sond alt veab, ja sul on arv, mis loeb.

ping -M do -s 1400 10.20.30.40

Väikesed sondid lähevad läbi, samal ajal kui kataloogiloend või üleslaadimine ripub — see on selle etapi allkiri. Kaebus kõlab nagu mandaadid või tulemüürireegel, ja see pole kumbki.

Arv on tee, mitte kliendi omadus, seega kontoriühendusel töötav väärtus võib mobiililingil alt vedada. Hoia sondikäsk piletiga koos, sest järgmisel inimesel on vaja sama mõõtmist. Kui väiksem koormus läbib, on lahendus clamp või madalam tunneli MTU, mitte uus šiffer.

Testi kaugpoolt

Testi sihtkohta selle aadressi järgi ja vaata siis, mis seal kuulab. Tagasi lükatud ühendus ja ühendus, mis ei vasta kunagi, on erinevad leiud. Esimene ütleb, et miski töötab ega teeninda seda porti, ja teine ütleb, et midagi ei tulnud tagasi. Kumbki pole vaikimisi kliendi probleem.

curl -sv http://10.20.30.41:8080/health
nc -vz -w 3 10.20.30.41 3389
ss -lnt 'sport = :8080'

Mitte miski, mis on tunnelist kättesaadav, ei saa olla teenus, mis kuulab ainult aadressil 127.0.0.1, sest kuulaja ei näe paketti kunagi. Kui kaugkohvi tulemüür lubab kontori alavõrku ja keeldub tunnelipoolist, näeb tulemus välja nagu kliendi tõrge ja seda see pole. Remote Desktop või failijagamine katkeb, samal ajal kui veebiliiklus jääb püsima — tavaliselt maandub see siin, ükskõik kuidas kasutaja seda sõnastab.

Kaardista kaebus ühele etapile

Enamik raporteid taandub ühele viiest kujust ja iga kuju nimetab etapi. Üks sait, mis töötab ainult tunnelist, on nimevastus või allikaaadressiga seotud poliitika. Uuendused veavad alt ilma tunnelita, samal ajal kui sirvimine töötab — see on selle kliendi nime- või marsruudiprobleem.

See, et kõik peatub, kui pakkuja klient käivitub, on paigaldatud olek, seega marsruudi- ja tulemüüriküsimus. Üks teenus on kättesaamatu, samal ajal kui ülejäänud on korras — see on kaugpool. Ülekanded takerduvad mõne sekundi pärast — see on paketi suurus. Sobita kuju enne käskude käivitamist, sest see otsustab, milliseid tõendeid kõigepealt koguda.

Kirjuta üles etapp, mis andis esimese tõrke, koos käsu väljundiga. Pilet, mis ütleb, et allikaaadress oli vale, lisatud marsruudireaga, väärib tegutsemist, samas kui see, mis teatab VPN-i katkisest, ei vääri.