Miért fut mégis időtúllépésre a válasz egy működő VPN-nél
Az, hogy egy kérés eléri a privát szervert, csak a csere fele. A válasznak meg kell találnia az alagút kliensét a szándékolt átjárón, útvonalon vagy fordítási szabályon keresztül.
A kérés megérkezik, a szerver naplózza, a kliens pedig továbbra is időtúllépésről számol be. Ez a kombináció azt jelenti, hogy a válasz nem találta meg a visszavezető utat, és ez az egyik azon kevés hibák közül, amelyet egyszerre mindkét végpontról megerősíthetsz. Végezd el az ellenőrzéseket sorrendben, és állj meg, amikor valamelyik elbukik.
Kezdd azzal, hova érkezett a kérés
Erősítsd meg, hogy a csomag elérte a szolgáltatást, mielőtt bármi mást vizsgálnál. Egy szerveroldali naplóbejegyzés, egy kapcsolatszámláló vagy egy engedélyezett elfogás a távoli végponton mind ugyanarra a kérdésre válaszol, és ezek hiánya visszaküld az alagúthoz, nem pedig előre a válaszhoz. Ez az az ellenőrzés, amely elválasztja a továbbítási problémát a visszaúti problémától.
Ha a kérés soha nem érkezett meg, állj meg itt. Az alagút, a privát előtag felé irányuló forgalomirányítás vagy a hozzáférési szabály a téma, és a válasz útja még nem releváns. Jegyezd fel azt a forrás címet is, amelyet a szerver látott. Ez vagy a kliensnek adott készletcím, vagy egy fordított cím, és ez a különbség határozza meg, melyik későbbi ellenőrzés érvényes.
A válasznak útvonal kell a készlethez
A távoli hozzáférésű kliens általában egy készletből kap címet, és a privát hálózatnak visszavezető útvonal kell ehhez a készlethez. Egy szerver, amelynek alapértelmezett útvonala a saját átjárójára mutat, átadja a csomagot annak az átjárónak, amelynek sejtelme sincs, hol található a készlet, így a válasz ott elhal. A kliens időtúllépést lát, mert semmi nem jött vissza, ami megkülönböztethetetlen egy soha el nem indult kéréstől.
Azt az útvonalat ellenőrizd, amelyet a szerver a kliens címéhez választ, és ne azt, amelyet a saját alhálózatához használ. Ez a két keresés eltérő választ adhat, és itt a második számít. A fordítás az alternatív terv, és megváltoztatja azt, amit a szerver lát. Egyszerűsítheti a visszautat, és eltávolítja az eredeti klienscímet a szerver naplóiból, ami hatással van minden olyan szabályra vagy jelentésre, amely erre a mezőre épül.
Hasonlítsd össze a szerveren készült elfogást az átjárón készülttel
Hasonlítsd össze, mi hagyja el a szervert, azzal, mi megérkezik az átjáróhoz. A szerver kimenő interfészén készült elfogás és az alagút átjáróján készült elfogás a kérdés különböző felére válaszol, és a kettő közti rés lokalizálja a veszteséget.
ip route get 10.90.0.14
tcpdump -ni any host 10.90.0.14 and port 443
ip route show table all | grep 10.90.0.0| Where the reply stops | What it proves |
|---|---|
| Request in the server log, nothing on its outbound capture | The server picked a gateway that cannot reach the pool |
| Reply leaves the server but never shows up at the gateway | Loss on the LAN path, not on the tunnel |
| Reply reaches the gateway but not the client | Return translation or tunnel policy, not the server route |
Az átjáró által generált kérés gyenge helyettesítője a kliensoldali tesztnek, mert más címről indul és más szabályokkal találkozik. Ezért lehet egyszerre igaz egy sikeres ping az átjáróról és egy sikertelen kérés a klienstől.
Amikor több útválasztó van az útvonalon, ellenőrizd mindegyiket, amelynek útvonal kell a készlethez. A telephely-telephely kialakítás gyakran megköveteli, hogy a távoli előtag egynél több eszközön ismert legyen, és magának az átjárónak kell továbbítania az alagút és a helyi hálózat között; a strongSwan továbbítási jegyzetei lefedik ennek sysctl és tűzfal oldalát.
Rögzítsd a készletet, az előtagot és a felelőst
Négy tény tartozik a jegyzetbe: a készlet, amelyet a kliens kapott, a privát előtag, amelyre szüksége volt, a válaszért felelős útválasztó és a fordítási szabály, ha van ilyen. Ezekkel egy későbbi átjáróváltás összehasonlítás, nem vizsgálat.
Ezután teszteld újra egy közönséges klienssel és az alkalmazás valódi fiókjával. Az alkalmazás jogosultságainak bővítése nem javítja meg egy csomag visszaútját, és a diagnózis közben végzett fiókváltás összezavarja a következő összehasonlítást. Ha a terv a fordításra támaszkodik, dokumentáld ott, ahol a szerver naplóit olvassák. Aki ismeretlen forráscímet lát egy auditnyomban, ne kényszerüljön újra felfedezni a hozzárendelést egy jegyből.