Wêrom't in wurkjende VPN dochs útrint op it antwurd
Dat in fersyk in priveeserver berikt, is mar de helte fan 'e útwikseling. It antwurd moat de tunnelkliïnt fine fia de bedoelde poarte, rûte of oersetting.
It fersyk komt oan, de server locht it, en de kliïnt meldt noch altyd in tiidferrin. Dy kombinaasje betsjut dat it antwurd syn wei werom net fûn hat, en it is ien fan 'e pear flaters dy'tsto fan twa kanten tagelyk befêstigje kinst. Wurkje de kontrôles yn folchoarder ôf en stopje as ien fan harren mislearret.
Begjin by wêr't it fersyk oankaam
Befêstigje dat it pakket de tsjinst berikte foardatsto wat oars ûndersykest. In logrigel oan 'e serverkant, in ferbiningssinteller of in tastiene opname oan 'e fiere kant beantwurdzje allegear deselde fraach, en it ûntbrekken dêrfan stjoert dy werom nei de tunnel ynstee fan foarút nei it antwurd. Dit is de kontrôle dy't in trochstjoerprobleem fan in weromwei-probleem skiedt.
As it fersyk nea oankaam, stopje dan hjir. De tunnel, de rûteleasing nei it priveeprefiks of de tagongsregel is it ûnderwerp, en de antwurdwei is noch net relevant. Skriuw ek it boarneadres op dat de server seach. It is óf it poeladres dat de kliïnt krige óf in oerset adres, en dat ferskil bepaalt hokker fan 'e lettere kontrôles jildt.
It antwurd hat in rûte nei de poel nedich
In kliïnt foar ôfstâns tagong krijt meastentiids in adres út in poel, en it priveenetwurk hat in rûte werom nei dy poel nedich. In server waans standertrûte nei syn eigen poarte wiist, jout it pakket oan dy poarte, dy't gjin idee hat wêr't de poel is, sadat it antwurd dêr stjert. De kliïnt sjocht in tiidferrin om't der neat weromkaam, wat net te ûnderskieden is fan in fersyk dat nea fuortgie.
Kontrolearje de rûte dy't de server foar it kliïntadres kiest, net de rûte dy't er foar syn eigen subnet brûkt. Dy twa opsykjen kinne ferskillende antwurden jaan, en it twadde is itjinge hjir ta saak docht. Oersetting is it alternative ûntwerp en it feroaret wat de server sjocht. It kin in weromwei ferienfâldigje, en it ferwideret ek it oarspronklike kliïntadres út 'e logs fan 'e server, wat ynfloed hat op elke regel of rapport dat op dat fjild boud is.
Fergelykje de opname op 'e server mei de opname op 'e poarte
Fergelykje wat de server ferlit mei wat by de poarte oankomt. In opname op 'e útgeande ynterface fan 'e server en in opname op 'e tunnelpoarte beantwurdzje ferskillende helten fan 'e fraach, en de kleau tusken harren lokaliseart it ferlies.
ip route get 10.90.0.14
tcpdump -ni any host 10.90.0.14 and port 443
ip route show table all | grep 10.90.0.0| Where the reply stops | What it proves |
|---|---|
| Request in the server log, nothing on its outbound capture | The server picked a gateway that cannot reach the pool |
| Reply leaves the server but never shows up at the gateway | Loss on the LAN path, not on the tunnel |
| Reply reaches the gateway but not the client | Return translation or tunnel policy, not the server route |
In fersyk dat troch de poarte sels generearre wurdt, is in min ferfanger foar in kliïnttest, om't it fan in oar adres komt en oare regels treft. Dêrom kinne in suksesfolle ping fan 'e poarte en in mislearre fersyk fan 'e kliïnt beide wier wêze.
Wannear't der mear routers op it paad sitte, kontrolearje elk dat in rûte nei de poel nedich hat. In side-oan-side-ûntwerp freget faak dat it fiere prefiks op mear as ien apparaat bekend is, en de poarte sels moat tusken de tunnel en it LAN trochstjoere; de trochstjoernotysjes fan strongSwan dekke de sysctl- en firewallkant dêrfan.
Skriuw de poel, it prefiks en de eigner op
Fjouwer feiten hearre yn 'e notysje: de poel dy't de kliïnt krige, it priveeprefiks dat er nedich hie, de router dy't ferantwurdlik is foar it antwurd, en de oersettingsregel as dy bestiet. Dêrmei is in lettere poartewiziging in fergeliking ynstee fan in ûndersyk.
Testje dêrnei opnij mei in gewoane kliïnt en it echte applikaasje-akkount. It ferbreedzjen fan applikaasjerjochten kin de weromwei fan in pakket net reparearje, en in akkountwiziging yn 'e rin fan dizze diagnoaze sil de folgjende fergeliking betizje. As it ûntwerp op oersetting fertrout, dokumintearje it dêr't de logs fan 'e server lêzen wurde. Wa't in ûnbekend boarneadres yn in auditspoar sjocht, soe de mapping net opnij út in ticket ûntdekke moatte.