VPN sanoo yhdistetty, mutta mikään ei reitity: kaksi paikkaa katsoa

Tunneli voi ilmoittaa olevansa yhdistetty, vaikka mikään ei saavuta sitä, ja nämä kaksi tosiasiaa asuvat eri paikoissa. Toinen on reititystaulu, joka voi yhä lähettää paketteja laitteelle, jota kukaan ei omista. Toinen on resolveri, joka voi yhä listata palvelimen linkillä, joka on kadonnut. Verkkomuutos ei vahingoittanut profiilia, se jätti edellisen yhteyden tilan orvoksi, ja korjaus riippuu siitä, kumpaa näistä olet itse asiassa katsomassa.

Kysy ensin ytimeltä, mitä laitetta se käyttäisi

Reitityslista näyttää, mitä on olemassa; reittihaku näyttää, mitä tapahtuisi. Kysy julkista osoitetta ja lue laitteen nimi vastauksesta, sillä se yksi kenttä ratkaisee, päätyykö paketti mihinkään hyödylliseen. Kun vastaus nimeää tunnelilaitteen, ydin antaa paketit sille, vaikka kyseisen rajapinnan takana ei enää ajaisi yhtään asiakasprosessia. Kun vastaus nimeää fyysisen sovittimen, vaikka asiakas väittää olevansa yhdistetty, tunneli on pystyssä eikä vain ole valittu polku.

Jälkimmäinen tapaus on tavallinen sen jälkeen, kun kaapeli korvaa langattoman, ja se esittäytyy rikkinäisenä VPN:nä.

ip route show default
ip route get 203.0.113.9

Lue seuraavaksi oletusmerkinnät, sillä edellisen perusyhteyden lisäämä reitti voi elää linkin vaihdon yli ja seisoa uuden edessä. Oletusreitti laitteen kautta, joka on alhaalla, on pahempi kuin ei oletusreittiä lainkaan, koska ydin suosii sitä silti. Huomaa jokaisen merkinnän metrijärjestys, sillä se kertoo suosituksesta nopeammin kuin rajapintojen nimet.

Lue sitten resolveri linkeittäin, ei tiedostoittain

Nimien selvitys kantaa oman tilansa ja oman vanhentumisensa. Resolveri, joka listaa DNS-palvelimet linkeittäin, pitää alhaalla mutta yhä rekisteröidyn tunnelilinkin palvelimet, ja jokainen kysely odottaa silloin palvelinta, joka ei vastaa. Oireena on verkko, joka tuntuu kuolleelta, vaikka reititystaulu näyttää täydelliseltä.

Tarkastele linkkikohtaista tilaa tiedoston sijaan, sillä monissa jakeluissa tiedosto on symbolinen linkki resolveriin ja sen muokkaaminen joko ei tee mitään tai korvataan nopeasti. Katso, mikä linkki omistaa mitkä palvelimet ja minkä hakudomainin, ja kysy sitten, pitäisikö tunnelilinkin ylipäätään olla enää rekisteröity. Jos ei, poista käytöstä yhteys, joka sen omistaa, äläkä muokkaa generoitua tilaa käsin. Nimi, joka selviää, kun reittihaku lähettää paketit muualle, on kolmas ja erillinen vika.

resolvectl status
resolvectl query app.internal.example

Jos osoitteet selviävät ja yhteydet epäonnistuvat, resolveri on kunnossa ja reitti ei. Jos osoitteet eivät selviä lainkaan, tästä kannattaa aloittaa.

Miten vanhentunut reitti selviää muutoksesta

Asiakas ei omista verkkoa yksin. NetworkManager-isännässä VPN-profiili aktivoidaan perusyhteyden päälle, ja yhteysasetukset antavat perusyhteyden nimetä VPN:n, jonka pitäisi seurata sitä. Kun perusyhteys vaihtuu, koska toisesta profiilista tulee suositumpi, tunneli seuraa uudelle perusyhteydelle tai jää ilman sellaista.

VPN-profiili ei nosta itseään, joten paritus merkitsee paljon enemmän kuin profiilin oma autoconnect-asetus.

Lue aktiivilista ja pane merkille, mikä perusyhteys on pystyssä ennen kuin kosket tunneliin. Jos perusyhteys on listalla eikä tunneli, reitti puuttuu eikä ole vanhentunut, ja korjaus on aktivointi. Jos tunnelin aktivointi valittaa, ettei lähdeyhteyttä ole, sen parina ollut perusyhteys on poissa, joten nosta se ensin tai korjaa paritus sen sijaan, että yrittäisit tunnelia uudelleen. Profiilin yrittäminen uudelleen ilman vanhempaa tuottaa saman virheen joka kerta, mikä on hyödyllinen signaali eikä harmi.

nmcli device status
nmcli connection show --active
nmcli connection up office-vpn

Erota vanhentunut tila puuttuvasta vanhemmasta

Kolme tilaa selittää lähes jokaisen raportin, ja kukin vaatii eri korjauksen. Oletusreitti laitteen kautta, joka on yhä olemassa mutta ei enää kanna tunnelia, on vanhentunut tila, joka poistetaan joko poistamalla merkintä tai käynnistämällä vastuussa oleva profiili uudelleen. Tunnelilaite, jonka asiakasprosessi on kadonnut, on siivousvirhe, joten katkoksen polku ansaitsee huomion eikä reititystaulu. Ei tunnelilaitetta lainkaan tarkoittaa, että vanhempi tai paritus puuttuu eikä reititystaulu ollut koskaan mukana.

Uudelleenkäynnistys kätkee, mikä kolmesta sinulla oli, ja juuri siksi se tuntuu korjaukselta.

Korjauksen jälkeen kysy ytimeltä yksi julkinen ja yksi sisäinen osoite ja kysy sitten sisäistä nimeä. Kun osoite toimii eikä nimi, löysit resolverin domain-laajuusongelman etkä reititysongelmaa. Kirjaa, minkä tilan löysit, sillä seuraava verkkomuutos toistaa sen, jonka jätit rauhaan.