Zergatik funtzionatzen duen VPN batek erantzunean denbora-muga ematen duen oraindik
Eskaera zerbitzari pribatu batera iristea elkarrizketaren erdia baino ez da. Bere erantzunak tunelaren bezeroa aurkitu behar du aurreikusitako atearen, ibilbidearen edo itzulpenaren bidez.
Eskaera iristen da, zerbitzariak erregistratu egiten du, eta bezeroak denbora-muga jakinarazten du oraindik. Konbinazio horrek esan nahi du erantzunak ez zuela itzultzeko bidea aurkitu, eta bi muturretatik aldi berean egiaztatu dezakezun hutsegite gutxietako bat da. Egin egiaztapenak ordenan eta gelditu bat huts egiten duenean.
Hasi eskaera non iritsi zen
Egiaztatu paketea zerbitzura iritsi zela beste ezer aztertu aurretik. Zerbitzariaren erregistro-sarrera batek, konexio-kontagailu batek edo urruneko muturrean baimendutako kaptura batek galdera bera erantzuten dute, eta haien ez egoteak tunelera bidaltzen zaitu, erantzunerantz aurrera egin beharrean. Hau da birbidalketa-arazo bat itzulera-ibilbide arazo batetik bereizten duen egiaztapena.
Eskaera inoiz iritsi ez bada, gelditu hemen. Tunela, aurrizki pribaturako bideratzea edo sarbide-araua da gaia, eta erantzunaren ibilbidea oraindik ez da garrantzitsua. Idatzi zerbitzariak ikusi zuen iturburu-helbidea ere. Bezeroak jasotako biltegiko helbidea da edo helbide itzulia, eta desberdintasun horrek zehazten du zein geroko egiaztapen aplikatzen den.
Erantzunak biltegira joateko ibilbidea behar du
Urrutiko sarbideko bezero batek normalean biltegi batetik helbidea jasotzen du, eta sare pribatuak biltegi horretara itzultzeko ibilbidea behar du. Bere bide lehenetsia bere ate propiora zuzentzen duen zerbitzari batek paketea ate horri ematen dio, eta hark ez daki non dagoen biltegia, beraz erantzuna han hil egiten da. Bezeroak denbora-muga ikusten du ez baitzen ezer itzuli, eta hori ez da inoiz irten ez zen eskaera batetik bereizten.
Egiaztatu zerbitzariak bezeroaren helbiderako aukeratzen duen ibilbidea, ez bere azpisarearentzat erabiltzen duena. Bi bilaketa horiek erantzun desberdinak eman ditzakete, eta bigarrena da hemen garrantzitsua. Itzulpena diseinu alternatiboa da eta zerbitzariak ikusten duena aldatzen du. Itzulera-ibilbidea sinplifika dezake, eta bezeroaren jatorrizko helbidea zerbitzariaren erregistroetatik kentzen du, eremu horretan eraikitako edozein arau edo txosteni eraginez.
Konparatu zerbitzariko kaptura eta ateko kaptura
Konparatu zerbitzaritik irteten dena atera iristen denarekin. Zerbitzariaren irteerako interfazean egindako kaptura batek eta tunelaren atean egindako kaptura batek galderaren erdi desberdinei erantzuten diete, eta bien arteko hutsuneak galera kokatzen du.
ip route get 10.90.0.14
tcpdump -ni any host 10.90.0.14 and port 443
ip route show table all | grep 10.90.0.0| Where the reply stops | What it proves |
|---|---|
| Request in the server log, nothing on its outbound capture | The server picked a gateway that cannot reach the pool |
| Reply leaves the server but never shows up at the gateway | Loss on the LAN path, not on the tunnel |
| Reply reaches the gateway but not the client | Return translation or tunnel policy, not the server route |
Ateak berak sortutako eskaera bezeroaren probaren ordezko eskasa da, beste helbide batetik abiatzen delako eta beste arau batzuekin egiten duelako. Horregatik, atetik ping on bat eta bezerotik eskaera hutsegin bat egiazkoak izan daitezke aldi berean.
Bidean hainbat bideratzaile daudenean, egiaztatu biltegira ibilbidea behar duen bakoitza. Gunez guneko diseinuak maiz eskatzen du urruneko aurrizkia gailu bat baino gehiagotan ezaguna izatea, eta ateak berak tunelaren eta LANaren artean bidali behar du; strongSwanen birbidaltze-oharrak sysctl eta suebaki aldea estaltzen dituzte.
Erregistratu biltegia, aurrizkia eta arduraduna
Lau datu dagozkio oharari: bezeroak jasotako biltegia, behar zuen aurrizki pribatua, erantzunaren arduraduna den bideratzailea eta itzulpen-araua, dagoeneko bat balego. Horiekin, geroagoko ate-aldaketa konparazio bat da, ez ikerketa bat.
Gero probatu berriro bezero arrunt batekin eta aplikazioaren benetako kontuarekin. Aplikazioaren pribilegioak zabaltzeak ezin du pakete baten itzulera-ibilbidea konpondu, eta diagnostiko honetan egindako kontu-aldaketak hurrengo konparazioa nahasiko du. Diseinua itzulpenean oinarritzen bada, dokumentatu ezazu zerbitzariaren erregistroak irakurtzen diren tokian. Auditoria-arrastoan iturburu-helbide ezezagun bat ikusten duenak ez luke txartel batetik mapaketa berriro aurkitu behar.