Miksi toimiva VPN aikakatkaisee silti vastauksessa
Pyynnön päätyminen yksityiselle palvelimelle on vain puolet vaihdosta. Sen vastauksen on löydettävä tunneliasiakas aiottua yhdyskäytävää, reittiä tai käännöstä pitkin.
Pyyntö saapuu, palvelin kirjaa sen ja asiakas ilmoittaa edelleen aikakatkaisusta. Tämä yhdistelmä tarkoittaa, että vastaus ei löytänyt tietään takaisin, ja se on yksi harvoista vioista, jotka voit vahvistaa molemmista päistä yhtä aikaa. Tee tarkistukset järjestyksessä ja pysähdy, kun jokin niistä epäonnistuu.
Aloita siitä, mihin pyyntö saapui
Vahvista, että paketti saavutti palvelun ennen kuin tutkit mitään muuta. Palvelinpuolen lokimerkintä, yhteyksien laskuri tai sallittu kaappaus kaukaisessa päässä vastaavat kaikki samaan kysymykseen, ja niiden puuttuminen lähettää sinut takaisin tunneliin eikä eteenpäin vastaukseen. Tämä on tarkistus, joka erottaa edelleenlähetysongelman paluureitin ongelmasta.
Jos pyyntö ei koskaan saapunut, pysähdy tähän. Aiheena on tunneli, reititys yksityiseen etuliitteeseen tai käyttösääntö, eikä vastauksen reitti ole vielä olennainen. Kirjaa myös lähdeosoite, jonka palvelin näki. Se on joko asiakkaan saama altaan osoite tai käännetty osoite, ja tämä ero ratkaisee, mikä myöhemmistä tarkistuksista pätee.
Vastaus tarvitsee reitin altaaseen
Etäkäyttöasiakas saa yleensä osoitteen altaasta, ja yksityinen verkko tarvitsee paluureitin siihen altaaseen. Palvelin, jonka oletusreitti osoittaa sen omaan yhdyskäytävään, ojentaa paketin sille yhdyskäytävälle, jolla ei ole aavistustakaan siitä, missä allas sijaitsee, joten vastaus kuolee sinne. Asiakas näkee aikakatkaisun, koska mitään ei tullut takaisin, eikä sitä voi erottaa pyynnöstä, joka ei koskaan lähtenyt.
Tarkista reitti, jonka palvelin valitsee asiakkaan osoitteelle, älä reittiä, jota se käyttää omalle aliverkolleen. Nämä kaksi hakua voivat antaa eri vastaukset, ja tässä merkitsee jälkimmäinen. Käännös on vaihtoehtoinen rakenne ja se muuttaa sitä, mitä palvelin näkee. Se voi yksinkertaistaa paluureittiä, ja se myös poistaa alkuperäisen asiakasosoitteen palvelimen lokeista, mikä vaikuttaa mihin tahansa kyseiseen kenttään rakennettuun sääntöön tai raporttiin.
Vertaa palvelimen kaappausta yhdyskäytävän kaappaukseen
Vertaa sitä, mikä lähtee palvelimelta, siihen, mikä saapuu yhdyskäytävälle. Kaappaus palvelimen lähtevällä liitännällä ja kaappaus tunnelin yhdyskäytävällä vastaavat kysymyksen eri puoliskoihin, ja niiden välinen aukko paikantaa häviön.
ip route get 10.90.0.14
tcpdump -ni any host 10.90.0.14 and port 443
ip route show table all | grep 10.90.0.0| Where the reply stops | What it proves |
|---|---|
| Request in the server log, nothing on its outbound capture | The server picked a gateway that cannot reach the pool |
| Reply leaves the server but never shows up at the gateway | Loss on the LAN path, not on the tunnel |
| Reply reaches the gateway but not the client | Return translation or tunnel policy, not the server route |
Yhdyskäytävän itsensä tuottama pyyntö on huono korvike asiakastestille, koska se tulee eri osoitteesta ja kohtaa eri säännöt. Siksi onnistunut ping yhdyskäytävästä ja epäonnistunut pyyntö asiakkaalta voivat molemmat olla totta.
Kun polulla on useita reitittimiä, tarkista jokainen, joka tarvitsee reitin altaaseen. Sivusto-sivusto-rakenne vaatii usein, että etäinen etuliite tunnetaan useammassa kuin yhdessä laitteessa, ja yhdyskäytävän itsensä on välitettävä tunnelin ja lähiverkon välillä; strongSwanin edelleenlähetysmuistiinpanot kattavat sen sysctl- ja palomuuripuolen.
Kirjaa allas, etuliite ja omistaja
Muistiinpanoon kuuluu neljä tosiseikkaa: allas, jonka asiakas sai, yksityinen etuliite, jonka se tarvitsi, vastauksesta vastaava reititin ja käännössääntö, jos sellainen on. Niiden kanssa myöhempi yhdyskäytävämuutos on vertailu eikä tutkinta.
Testaa sitten uudelleen tavallisella asiakkaalla ja sovelluksen oikealla tilillä. Sovelluksen oikeuksien laajentaminen ei korjaa paketin paluureittiä, ja tämän diagnoosin aikana tehty tilin muutos sekoittaa seuraavan vertailun. Jos rakenne nojaa käännökseen, dokumentoi se siellä, missä palvelimen lokeja luetaan. Henkilön, joka näkee tuntemattoman lähdeosoitteen auditointijäljessä, ei pitäisi joutua löytämään mappausta uudelleen tiketistä.