Miks töötav VPN vastusel siiski aegub
See, et päring jõuab privaatserverini, on vaid pool vahetust. Selle vastus peab leidma tunnelikliendi ettenähtud lüüsi, marsruudi või tõlke kaudu.
Päring saabub, server logib selle ja klient teatab ikka aegumisest. See kombinatsioon tähendab, et vastus ei leidnud tagasiteed, ja see on üks väheseid rikkeid, mida saad korraga mõlemast otsast kinnitada. Tee kontrolle järjest ja peatu, kui mõni neist ebaõnnestub.
Alusta sellest, kuhu päring saabus
Kinnita, et pakett jõudis teenuseni, enne kui midagi muud uurid. Serveripoolne logikirje, ühenduste loendur või kaugemas otsas lubatud püüdmine vastavad kõik samale küsimusele, ja nende puudumine saadab sind tagasi tunneli juurde, mitte edasi vastuse juurde. See on kontroll, mis eristab edastamisprobleemi tagasitee probleemist.
Kui päring ei saabunud kunagi, peatu siin. Tunnel, marsruutimine privaatse eesliideseni või juurdepääsureegel on teema, ja tagasitee pole veel oluline. Pane kirja ka allikaaadress, mida server nägi. See on kas kliendile antud basseini aadress või tõlgitud aadress, ja see erinevus määrab, milline hilisematest kontrollidest kehtib.
Vastus vajab marsruuti basseinini
Kaugjuurdepääsuklient saab tavaliselt aadressi basseinist, ja privaatvõrk vajab marsruuti tagasi sellesse basseini. Server, mille vaikemarsruut osutab tema enda lüüsile, annab paketi sellele lüüsile, millel pole aimugi, kus bassein asub, ja vastus sureb seal. Klient näeb aegumist, sest midagi ei tulnud tagasi, ja seda ei saa eristada päringust, mis ei lahkunud kunagi.
Kontrolli marsruuti, mille server valib kliendi aadressi jaoks, mitte marsruuti, mida ta kasutab oma alavõrgu jaoks. Need kaks otsingut võivad anda erinevaid vastuseid, ja siin on oluline teine. Tõlge on alternatiivne lahendus ja see muudab seda, mida server näeb. See võib tagasitee lihtsamaks muuta, ja eemaldab ka algse kliendi aadressi serveri logidest, mis mõjutab iga sellele väljale ehitatud reeglit või aruannet.
Võrdle serveri püüdmist lüüsi püüdmisega
Võrdle seda, mis serverist lahkub, sellega, mis lüüsini jõuab. Püüdmine serveri väljuval liidesel ja püüdmine tunnelilüüsil vastavad küsimuse erinevatele pooltele, ja nende vaheline lünk lokaliseerib kao.
ip route get 10.90.0.14
tcpdump -ni any host 10.90.0.14 and port 443
ip route show table all | grep 10.90.0.0| Where the reply stops | What it proves |
|---|---|
| Request in the server log, nothing on its outbound capture | The server picked a gateway that cannot reach the pool |
| Reply leaves the server but never shows up at the gateway | Loss on the LAN path, not on the tunnel |
| Reply reaches the gateway but not the client | Return translation or tunnel policy, not the server route |
Lüüsi enda loodud päring on klienditesti kehv asendus, sest see pärineb teiselt aadressilt ja puutub kokku teiste reeglitega. Seetõttu võivad õnnestunud ping lüüsist ja ebaõnnestunud päring kliendist olla korraga tõesed.
Kui teel on mitu ruuterit, kontrolli igaüht, mis vajab marsruuti basseinini. Saidi-saiti lahendus nõuab sageli, et kaugem eesliide oleks teada rohkem kui ühes seadmes, ja lüüs ise peab edastama tunneli ja lokaalvõrgu vahel; strongSwani edastamise märkmed katavad selle sysctl- ja tulemüüripoole.
Pane kirja bassein, eesliide ja omanik
Märkmesse kuulub neli fakti: bassein, mille klient sai, privaatne eesliide, mida tal oli vaja, vastuse eest vastutav ruuter ja tõlkereegel, kui see olemas on. Nendega on hilisem lüüsivahetus võrdlus, mitte uurimine.
Seejärel testi uuesti tavalise kliendi ja rakenduse tegeliku kontoga. Rakenduse õiguste laiendamine ei paranda paketi tagasiteed, ja selle diagnoosi ajal tehtud konto muudatus ajab järgmise võrdluse segadusse. Kui lahendus toetub tõlkele, dokumenteeri see seal, kus serveri logisid loetakse. Inimene, kes näeb auditijäljes tundmatut allikaaadressi, ei peaks vastendust piletist uuesti avastama.