VPN-ühenduse aegumine: DNS, transport, läbirääkimine või sisselogimine
Aegumine tähendab ainult, et tähtaeg möödus. Võrrelge nelja etappi, nime lahendamine, transport, läbirääkimine ja sisselogimine, et näha, milline neist viimasena lõppes.
„Ühendus aegus“ on kõige ebamäärasem tõrge, mida VPN-klient saab välja printida. See tähendab, et üks toiming jäi tähtajast ilma, ja igal etapil nime lahendamisest sisselogimisvastuseni on tähtaeg. Kliendid, mis näitavad ainult lõppteadet, teevad etapid ühesuguseks, nii et inimesed suurendavad ajalimiiti, muudavad porti ja paigaldavad profiili uuesti, selles järjekorras, õppimata midagi. Etappe on kiirem võrrelda: igaüks ebaõnnestub erinevas kohas ja iga ebaõnnestumine jätab erinevat liiki tõendi.
Neli etappi, neli erinevat ebaõnnestumist
Järjekord on fikseeritud ka siis, kui klient selle peidab: nimi tuleb lahendada, saadud aadressile tuleb luua transport, protokoll peab läbi rääkima oma parameetrid ja võtmed ning kontot tuleb autentida. OpenVPNi ühenduvuse tõrkeotsingu juhend järgib oma kliendi puhul sama järjekorda ja teised järgivad seda tihedalt. Aegumine teisel etapil ja aegumine neljandal etapil ei ole millegi poolest sarnased peale ekraanil oleva sõna.
| Stage | Looks like | What it does not prove |
|---|---|---|
| Name resolution | fails in under a second, before any contact | nothing about the server being up |
| Transport | waits the full timeout, then gives up | nothing about the VPN service behind the port |
| Negotiation | connects, then stalls at handshake | nothing about credentials |
| Login | a reply arrives and is rejected or hangs on a prompt | nothing about reachability |
Lugege logist viimast rida, mis näitab edenemist, mitte viimast rida enne tõrget. Enamik kliente prindib midagi lahendatud aadressi, loodud sokli, alustatud kätlemise või autentimispäringu taolist, ja rida järgnev etapp on see, mis aegus.
Nime lahendamine ebaõnnestub enne igasugust kontakti
Kui lõpp-punkt ei lahene kunagi, ei ole kliendil millegagi ühenduda ja mingit transporditööd ei toimunud. See ebaõnnestumine on tavaliselt hetkeline, mitte täielik aegumine, mis on odavaim viis seda ülejäänutest eristada. Testige nime süsteemilahendajaga ja teise lahendajaga ning võrrelge kahte vastust enne, kui järeldate, et server on maas.
Foorumipostitusest kopeeritud vana aadress on tavaline aegumise põhjus, mis näeb välja nagu serveriprobleem, sest aadress kuulub nüüd millelegi muule või mitte millelegi. Kasutage operaatori kehtivat profiili, selle asemel et asendada aadress, mis varem töötas. Puuduv ping-vastus ei ole tõend kummaski suunas: paljud lõpp-punktid viskavad ICMP kõrvale, teenindades samal ajal täiesti hästi.
Transpordi seadistamine ootab paketti, mis ei tule
Kui DNS on korras ja klient kulutab ikkagi kogu ajalimiidi, on kahtlane transpordikiht. TCP puhul saate porti otse testida; Test-NetConnection Windowsis või nc -vz Linuxis ütleb teile, kas miski võtab ühenduse vastu, ja see on kasulikum kui ping. UDP puhul ei saa samamoodi testida, sest selles kihis ei ole kätlemist, mida lõpule viia, ja see asümmeetria tekitab palju ekslikke järeldusi.
See, mida TCP-test tõestab, on piiratud: porti 443 vastuvõttev teenus ei ole tingimata VPN-kuulaja, ja ainult UDP-l töötaval lõpp-punktil ei ole TCP-porti, et midagi vastu võtta. Profiili ümberkirjutamine UDP-lt TCP-le ei loo teisel pool kuulajat; see muudab ainult seda, mida teie klient ootab. Kui võrk filtreerib protokolli, tekitab muudatus samas etapis teistsuguse aegumise.
Captive-portaalid väärib selles etapis eraldi kontrolli. Kuni portaal seadet ei autoriseeri, läheb väljuv liiklus portaali ja tunnelikatse lihtsalt ripub. Lõpetage portaal esmalt brauseris, seejärel proovige uuesti, ja ärge muutke profiili, kuni portaal on veel ootel.
Läbirääkimine ja sisselogimine tähendavad, et server vastas
Kui tunnel jõuab serverini, alustab klient kätlemist ja tõrke iseloom muutub. Seisak siin on ühilduvuse, mitte kättesaadavuse küsimus: sobimatud protokolliversioonid, šifri- või andmekanali seade, mida teine pool ei aktsepteeri, või profiil, mis ootab funktsiooni, mida server ei paku. OpenVPN on oma läbirääkimise vaikeväärtusi põhiversioonide vahel nii sageli liigutanud, et ühe põlvkonna jaoks kirjutatud profiil võib serverini jõuda ja ikkagi mitte tõusta.
Autentimine on viimane etapp ja kõige kergemini valesti loetav. Selge tagasilükkamine on vastus, mis tähendab, et tee töötab ja probleem on identiteet, sertifikaat või konto olek. Brauseripõhine ühekordse sisselogimise voog on kolmas juhtum: klient ootab toimingut, mida te ei teinud, või brauserit, mida ta ei saa käivitada, ja midagi ei saabu enne, kui selle sammu lõpetate.
Võrrelge tõendeid enne, kui muudate korduskatset
Hoidke seade ja profiil muutumatuna ning muutke korraga ühte asja, alustades võrgust. Kui sama profiil ühendub telefoni hotspoti kaudu ja aegub hotelli Wi-Fis, on muutuja tee, mitte server. Kui see ebaõnnestub kõikjal, on muutuja profiil või lõpp-punkt. Kui see ebaõnnestub ainult ühel kellaajal, jäädvustage ajatempel ja võrrelge seda serveripoolsete sündmustega enne, kui midagi koormuse kohta eeldate.
Teenuse puhul, mida haldate, on otsustav võrdlus see, kas katse üldse kohale jõuab. Ühendus, mis jõuab kuulajani ja siis seiskub, kuulub läbirääkimise etapile; see, mis ei ilmu kunagi kuulaja vaatevälja, on transpordi- või lahendamisprobleem, ja ükski korduskatse häälestus ei liiguta seda. Serverilogid eristavad ka tagasilükatud sisselogimist vaikselt mahavisatud ühendusest, mis on identiteediparanduse ja tulemüüriparanduse vahe.
Märkige üles kliendi versioon, profiili nimi, katse aeg koos ajavööndiga ja esimene kasulik tõrge, mitte viimane katkestatud rida. Eemaldage võtmed ja volikirju kandvad materjalid enne väljavõtte jagamist. Seejärel tehke üks sisuline parandus ja proovige uuesti, sest pikem tähtaeg aitab ainult dokumenteeritud aeglast toimingut ega tee midagi vale aadressi või blokeeritud pordi puhul.