VPN yhdistetty, mutta yksi palvelu epäonnistuu: eristä vaihe

„Yhdistetty“ on VPN-tiketin vähiten informatiivinen tieto. Se kirjaa, että kaksi osapuolta sai kättelyn valmiiksi, eikä mitään kysytystä nimestä, rajapinnasta jonka kautta paketti lähti, sen koosta tai siitä, hyväksyikö vastapuoli sen. Siksi yksi palvelu voi epäonnistua, vaikka kaikki muut sovellukset samalla kannettavalla toimivat. Käy vaiheet järjestyksessä läpi, ja ensimmäinen epäonnistuva nimeää vian.

Aloita nimestä, älä tunnelista

Selvitä ennen reitittämistä, koska huono vastaus tekee jokaisesta myöhemmästä testistä merkityksettömän. Kysy nimi järjestelmän ratkaisijalta ja vertaa vastausta osoitteeseen, jota sovellus todella käytti. Yksityinen nimi, joka palaa julkisena osoitteena, tarkoittaa, että kysely meni ratkaisijalle, jolla ei ole siihen vastaamista. Nimi, joka ei ratkea, on sama luokka, vain kovemmalla äänellä.

resolvectl query host.internal
getent hosts host.internal

Selaimet, joilla on oma suojatun DNS:n asetus, epäonnistuvat täällä, kun muu järjestelmä toimii. Siksi vain selaimeen liittyvä valitus kuuluu ensin tähän vaiheeseen, ennen kuin kukaan koskee reittiin. Vertaa molempia komentoja, älä yhtä, koska getent seuraa NSS-polkua eikä ratkaisijakysely.

Kysy ytimeltä, minkä polun se valitsi

Reititystaulu on mieltymysjärjestys, eikä ytimen valitsema polku ole aina kaaviossa näkyvä. Kysy siltä suoraan kyseessä olevaa kohdetta. Vastaus nimeää rajapinnan, seuraavan hypyn ja käytettävän lähdeosoitteen. Paketti voi lähteä tunnelista lähdeosoitteella, jonka vastapuoli hylkää, ja fyysisen taulun tarkempi merkintä voi lähettää sen sen sijaan Wi-Fi-rajapinnan kautta.

ip route get 10.20.30.40
ip -brief address show

Lue kentät dev, via ja src tässä järjestyksessä, koska jokainen poistaa eri epäilyn. Tämä vaihe omistaa myös tilan, jonka asiakas asensi, koska palomuurisäännöt ja reitit voivat jäädä epänormaalin lopetuksen jälkeen. Siksi „ei internetiä ilman tunnelia“ ja „ei internetiä, ellei asiakas toimi“ ovat yksi vikaluokka, eivät kaksi.

Testaa paketin koko

Pieni vastaus, joka palaa suuren siirron juuttuessa, viittaa ensin polun MTU:hun. Yksi koe, jossa do-not-fragment-bitti on asetettu ja joka lähetetään tunnelin sisältä, erottaa tämän vaiheen muista. Nosta hyötykuormaa, kunnes koe epäonnistuu, ja sinulla on ratkaiseva luku.

ping -M do -s 1400 10.20.30.40

Pienet kokeet onnistuvat, kun hakemistolistaus tai lataus jää jumiin — se on tämän vaiheen allekirjoitus. Valitus kuulostaa tunnuksilta tai palomuurisäännöltä, eikä se ole kumpaakaan.

Luku on polun, ei asiakkaan ominaisuus, joten toimistoyhteydellä toimiva arvo voi epäonnistua mobiililinkillä. Pidä koekomento tiketin mukana, koska seuraava henkilö tarvitsee saman mittauksen. Jos pienempi hyötykuorma menee läpi, korjaus on clamp tai matalampi tunnelin MTU, ei uusi salaus.

Testaa vastapuoli

Testaa kohde sen osoitteella ja katso sitten, mikä siellä kuuntelee. Hylätty yhteys ja yhteys, joka ei koskaan vastaa, ovat eri löydöksiä. Ensimmäinen sanoo, että jotain on käynnissä eikä palvele sitä porttia, ja toinen, että mitään ei tullut takaisin. Kumpikaan ei ole oletuksena asiakkaan ongelma.

curl -sv http://10.20.30.41:8080/health
nc -vz -w 3 10.20.30.41 3389
ss -lnt 'sport = :8080'

Mikään tunnelin kautta tavoitettava ei voi olla palvelu, joka kuuntelee vain osoitteessa 127.0.0.1, koska kuuntelija ei koskaan näe pakettia. Kun etähovin palomuuri sallii toimiston aliverkon ja hylkää tunnelin poolin, tulos näyttää asiakkaan vialta eikä ole sitä. Remote Desktop tai tiedostojen jakaminen hajoaa verkkoliikenteen selvitessä — yleensä se päätyy tänne, miten käyttäjä sen muotoileekin.

Kohdista valitus yhteen vaiheeseen

Useimmat raportit tiivistyvät yhteen viidestä muodosta, ja jokainen muoto nimeää vaiheen. Yksi sivusto, joka toimii vain tunnelin kautta, on nimivastaus tai lähdeosoitteeseen sidottu käytäntö. Päivitykset epäonnistuvat ilman tunnelia, kun selailu toimii — se on nimeen tai reittiin liittyvä ongelma sille asiakkaalle.

Se, että kaikki pysähtyy palveluntarjoajan asiakkaan käynnistyessä, on asennettu tila eli reitti- ja palomuurikysymys. Yksi palvelu saavuttamattomissa, kun muu on kunnossa, on vastapuoli. Siirrot juuttuvat muutaman sekunnin kuluttua — se on paketin koko. Sovita muoto ennen komentojen ajamista, koska se päättää, mitkä todisteet kerätään ensin.

Kirjaa vaihe, joka tuotti ensimmäisen epäonnistumisen, yhdessä komennon tulosteen kanssa. Tiketti, joka sanoo lähdeosoitteen olleen väärä ja johon reittirivi on liitetty, on toimimisen arvoinen, kun taas se, joka ilmoittaa VPN:n rikki, ei ole.