VPN yhdistää, mutta LAN-laitteisiin ei pääse: mitä tarkistaa

Liikenne saapuu tunneliin, yhdyskäytävä vastaa omassa osoitteessaan eikä mikään sen takana vastaa. Kuvio on yleinen eikä ole ristiriita: yhdyskäytävän vastaus todistaa, että tunneli päättyi, eikä se todista mitään siitä, mitä tapahtuu sen ohi osoitteeseen lähetetylle paketille. Kaksi testiä käyttävät eri koodipolkuja samassa koneessa.

Testaa tästä lähtien jotain yhdyskäytävän toisella puolella. Yhdyskäytävän oma osoite vastaa edelleen, oli välitys miten rikki tahansa.

Yhdyskäytävä vastaa omasta pinostaan

Yhdyskäytävälle osoitettu paketti toimitetaan sen paikalliselle tulopolulle, jossa ydin päättää, hyväksyykö kuunteleva pistoke sen. Yhdyskäytävän takana olevalle isännälle osoitettu paketti toimitetaan sen sijaan välityspolulle, jossa pätee toinen tarkistusjoukko. Välitys voi olla kokonaan pois päältä, tai ydin voi ottaa sen käyttöön ja sitten suodatinsääntö, joka ei koskaan mainitse tunnelia, voi hylätä sen. Mikään tästä ei vaikuta yhdyskäytävän omaan vastaukseen, siksi oire johtaa niin luotettavasti harhaan.

Tunnelin kautta saavutettavat hallintasivut kuuluvat myös ensimmäiseen luokkaan. Ne ovat todiste tunnelista, eivät sen takana olevasta verkosta.

Seuraa virtaa ensimmäiselle rajalle, joka pudottaa sen

Aloita asiakkaasta ja vahvista reitti ja lähdeosoite, jota virta käyttää. Tarkkaile sitten yhdyskäytävää juuri sen virran saapumisen osalta ja uudelleen saman virran lähtemistä kohti LANia. Jos se ei koskaan saavu, ongelma on asiakkaan puolella tai tunnelin sallituissa etuliitteissä. Jos se saapuu eikä koskaan lähde, ongelma on välityksessä tai eteenpäin vievän polun suodattimessa, ja kaappaus on jo kertonut kumpi.

Saman testin tekeminen yhdyskäytävältä kätkee kiinnostavan puolikkaan, koska yhdyskäytävältä peräisin olevalla paketilla on eri lähde ja eri paluuvaatimus. Käytä asiakkaan virtaa sen omalla lähdeosoitteella joka vaiheessa. Väärällä liitännällä otettu kaappaus tuottaa varmaa hölynpölyä.

Paluureitit ja isäntien palomuurit epäonnistuvat erikseen

Kun paketti saapuu isännälle, kolmen muun asian on oltava voimassa. Palvelun on kuunneltava osoitteessa, johon paketti lähetettiin, isännän palomuurin on hyväksyttävä se, ja vastauksella on oltava reitti takaisin kohti asiakaspoolia. Viimeinen epäonnistuu usein, koska isännän oletusreitti osoittaa reitittimeen, joka ei ole koskaan kuullut tunnelin alueesta. Tuloksena on yhteys, joka muodostuu isännän näkökulmasta ja kuolee hiljaa toiseen suuntaan.

Testaa paluupolku tarkoituksella lähettämällä asiakkaasta ja seuraamalla paluuta. Yksisuuntainen kaappaus ratkaisee sekunneissa sen, mitä tunti spekulaatiota ei ratkaise.

Vahvista jokainen hyppy asiakkaan lähdeosoitteella

Suorita tarkistukset järjestyksessä ja säilytä jokainen tuloste, koska arvo on vertailussa eikä yhdessä rivissä. Alla olevat komennot kiinnittävät lähdeosoitteen, näyttävät valitun reitin ja kaappaavat välityksen molemmat puolet. Korvaa oma LAN-isäntäsi ja tunneliliitäntäsi.

ip route get 192.168.50.20 from 10.8.0.2
ping -I 10.8.0.2 -c 3 192.168.50.20
sudo tcpdump -ni tun0 host 192.168.50.20
sudo tcpdump -ni br0 host 192.168.50.20

Reittikysely näyttää, lähettäisikö asiakas tuon paketin ylipäätään tunneliin, ja ping näyttää, tuliko isännältä jotain takaisin. Kahden kaappauksen vertailu erottaa saapumisen lähdöstä, koska kehys tunneliliitännällä ilman vastinetta LAN-liitännällä on välityspäätös eikä palveluvika. Kun molemmat kaappaukset näyttävät pyynnön ja vain toinen vastauksen, paluureitti on jäljellä oleva epäilty.

Kirjaa, mikä osoite vastasi ja mikä välitetty kohde epäonnistui. Tuo lause tekee raportista toimintakelpoisen sen sijaan, että väitettäisiin palvelimen olevan tavoittamaton.