VPN ferbûn, mar ien tsjinst falt: isolearje de stap

In foltôge handshake seit neat oer de namme, de rûte, de pakketgrutte of de listener. Rin fjouwer stappen troch en lit de earste flater it probleem beneame.

„Ferbûn“ is it minst ynformatyf feit yn in VPN-ticket. It registrearret dat twa partijen in handshake foltôge hawwe, en neat oer de namme dy’t frege is, de ynterface dêr’t it pakket troch fuort gie, syn grutte, of de fiere kant it akseptearre hat. Dêrom kin ien tsjinst falle wylst elke oare applikaasje op deselde laptop wurket. Rin de stappen yn folchoarder troch en de earste dy’t falt, beneamt de flater.

Begjin mei de namme, net mei de tunnel

Los earst op foardat jo routearje, want in min antwurd makket elke lettere test sinleas. Freegje de namme by de systeemoplosser en fergelykje dat antwurd mei it adres dat de applikaasje echt brûkt hat. In partikuliere namme dy’t as iepenbier adres weromkomt, betsjut dat de fraach nei in oplosser gie dy’t gjin saak hat om it te beantwurdzjen. In namme dy’t net oplost is deselde kategory, allinnich lûder.

resolvectl query host.internal
getent hosts host.internal

Browsers mei har eigen ynstelling foar feilige DNS falle hjir, wylst de rest fan it systeem wurket. Dêrom heart in klacht oer allinnich de browser earst by dizze stap, foardat immen in rûte oanrekket. Fergelykje beide opdrachten, net ien, want getent folget it NSS-paad en de oplosserfraach net.

Freegje de kernel hokker paad hy keas

De routingtabel is in foarkarsfolchoarder, en it paad dat de kernel kiest is net altyd dat fan it diagram. Freegje him direkt nei it bestimming yn kwestje. It antwurd neamt de ynterface, de folgjende hop en it boarne-adres dat brûkt wurdt. In pakket kin troch de tunnel fuortgean mei in boarne-adres dat de fiere kant wegere, en in spesifiker ynskriuwing yn ’e fysike tabel kin it ynstee troch de Wi-Fi-ynterface útstjoere.

ip route get 10.20.30.40
ip -brief address show

Lês de fjilden dev, via en src yn dy folchoarder, want elk eliminearret in oare fertinking. Dizze stap besit ek de steat dy’t de klant ynstallearre hat, want firewallregels en rûtes kinne nei in abnormale útgong bestean bliuwe. Dêrom binne „gjin ynternet sûnder de tunnel“ en „gjin ynternet as de klant net rint“ ien famylje fan flaters, net twa.

Test de pakketgrutte

In lyts antwurd dat weromkomt wylst in grutte oerdracht stikken bliuwt wiist earst nei de MTU fan it paad. Ien probe mei de do-not-fragment-bit ynsteld, fan binnen de tunnel stjoerd, skiedt dizze stap fan de rest. Ferheegje de payload oant de probe falt en jo hawwe it nûmer dat fan belang is.

ping -M do -s 1400 10.20.30.40

Lytse probes dy’t slagje wylst in mapylisting of in upload hinget — dat is de hantekening fan dizze stap. De klacht klinkt as oanmeldgegevens of in firewallregel, en it is gjin fan beide.

It nûmer is in eigenskip fan it paad, net fan de klant, dus in wearde dy’t op in kantoarferbining wurket kin op in mobile keppeling falle. Hâld it probe-opdracht by it ticket, want de folgjende persoan hat deselde mjitting nedich. As in lytsere payload trochkomt, is de oplossing in clamp of in legere tunnel-MTU, net in nije cipher.

Test de fiere kant

Test de bestimming by har adres, en sjoch dan wat dêr harket. In wegere ferbining en in ferbining dy’t nea antwurdet binne ferskillende befiningen. De earste seit dat der wat oan stiet en dat poarte net tsjinnet, en de twadde seit dat der neat weromkaam. Gjin fan beide is standert in klantprobleem.

curl -sv http://10.20.30.41:8080/health
nc -vz -w 3 10.20.30.41 3389
ss -lnt 'sport = :8080'

Neat dat troch in tunnel berikber is kin in tsjinst wêze dy’t allinnich op 127.0.0.1 harket, want de listener sjocht it pakket nea. As de firewall fan de fiere host it kantoarsubnet tastean en de tunnelpool wegeret, liket it resultaat op in klantflater en is it dat net. Remote Desktop of bestândieling brekt wylst webferkear oerlibbet — meastentiids lânet it hjir, hoe’t de brûker it ek formulearret.

Map de klacht nei ien stap

De measte rapporten falle yn ien fan fiif foarmen, en elke foarm neamt in stap. Ien site dy’t allinnich troch de tunnel wurket is in namme-antwurd of in belied ferbûn oan it boarne-adres. Fernijingen falle sûnder de tunnel wylst browsen wurket — dat is in namme- of rûteprobleem foar dy klant.

Dat alles stopt as in provider-klant start is ynstallearre steat, dus in fraach fan rûte en firewall. Ien tsjinst ûnberikber wylst de rest goed is, is de fiere kant. Oerdrachten dy’t nei in pear sekonden stikken bliuwe binne pakketgrutte. Koppelje de foarm foardat jo opdrachten rinne litte, want it beslút hokker bewiis earst sammele wurdt.

Skriuw de stap op dy’t de earste flater joech, tegearre mei de útfier fan it opdracht. In ticket dat seit dat it boarne-adres ferkeard wie, mei de rûteline taheakke, is it wurdich om op te hanneljen, wylst ien dat de VPN as stikken rapportearret dat net is.

Relatearre artikelen