VPN-ը տանը միանում է, բայց հյուրանոցի Wi-Fi-ում ժամկետը լրանում է
Նույն նոութբուքը, նույն հաշիվը, այլ ցանց։ Կարդացեք սխալի կոդը որպես փուլ, ստուգեք անունը, ապա գրավեք արտաքին փաթեթը՝ նախքան որևէ կարգավորում փոխելը։
Նոութբուքը միանում է տան Wi-Fi-ին, հաճախորդը միանում է երեք վայրկյանում, և նույն պրոֆիլը մեկ ժամ անց ձախողվում է հյուրանոցում։ Միջանկյալ ոչինչ չի թարմացվել։ Սա հաճախորդի հետ դիմացդ քննելը հիմնականում այն մասին է, թե որ սխալն է պատկանում որ փուլին, որովհետև օգտակար տեղեկությունը հաճախորդի տպած կոդի մեջ է, ոչ թե այն փաստի, որ այն ձախողվել է։ Անցեք ստորև բերված չորս քայլերը հերթականությամբ, և կիմանաք՝ անունը, փաթեթը, պորտը, թե քաղաքականությունն է ձեզ մերժել։
Կարդացեք սխալի կոդը որպես փուլ, ոչ որպես դատավճիռ
Մինչ թունելի գոյությունը հաճախորդը հասնում է երեք առանձին հանգրվանի։ Այն լուծում է սերվերի անունը, պատասխան է ստանում ցանցում ինչ-որ բանից և բանակցում անվտանգության ասոցիացիա։ Յուրաքանչյուր հանգրվան ունի իր ձախողման հաղորդագրությունը, և հատկապես Windows-ը առատաձեռն է տարբեր կոդերի հարցում, երբ արդեն գիտես, թե որ փուլին են դրանք պատկանում։
| What the client says | Stage that failed | First thing to run |
|---|---|---|
| 868, name did not resolve | DNS, before any packet leaves for the server | Resolve-DnsName vpn.example.net |
| 721 or 806, remote computer did not respond | Outer protocol filtered, typically GRE or UDP | A capture on the local interface |
| 809, server not responding | A device in the path is dropping the outer flow | The same capture, from a second network |
| 789, security layer error | The security exchange started and was rejected | Certificate and proposal settings on both ends |
Այդ կոդերից երկուսը նշանակում են, որ ցանցն անմեղ է։ 789-ը նշանակում է, որ փաթեթները հոսում էին, և երկու ծայրերը համաձայն չէին գաղտնագրման հարցում, ինչը կոնֆիգուրացիայի խնդիր է, որը կարող ես ուղղել տանը։ 868-ը նշանակում է, որ ոչ մի փաթեթ պետք չէր դուրս գալ, ուստի թունելի նախագիծը անկարևոր է, մինչև անունը լուծվի։ Կոդը ճիշտ փուլին դասելը ավելի շատ ժամանակ է խնայում, քան ցանկացած գրավում, որովհետև ասում է, թե հաջորդ երեք քայլերից որն է բաց թողնել։
Եղիր պատշաճ զգույշ, եթե հաճախորդը Windows չէ։ Երրորդ կողմի հաճախորդները այս ամենի մեծ մասը հանգեցնում են «միացումը ձախողվեց»-ի, այդ պատճառով հաջորդ երկու քայլերը բոլորովին չեն հենվում հաղորդագրության վրա։
Ստուգեք անունը՝ նախքան թունելին մեղադրելը
Հյուրանոցային և օդանավակայանային ցանցերը անընդհատ գրավում են DNS-ը, և պորտալի հասցեով պատասխանող լուծիչը ստեղծում է ձախողում, որը ճիշտ նման է մեռած սերվերի։ Համեմատիր, թե ինչ է ասում տեղական լուծիչը, և թե ինչ է ասում հանրայինը՝
Resolve-DnsName vpn.example.net -Type A
nslookup vpn.example.net 1.1.1.1
ipconfig /all | findstr /i "DNS Servers"Եթե երկու պատասխանները տարբերվում են, քեզ ուղղորդում են, և ախտորոշման մնացած մասը վատնված է, մինչև դա չլուծվի։ Հատկապես պորտալի հասցեն սիրով կընդունի TCP միացումը և հետո կկանգնի, այդ պատճառով բրաուզերով փորձարկելիս այն կարող է թվալ որպես հրատապ պատի արգելափակում։
Այժմ հաստատիր, որ այն հասցեն, որին ուզում ես հասնել, հենց օգտագործվողն է։ Որոշ հաճախորդներ պահում են նախորդ լուծումը պրոֆիլի ողջ կյանքի ընթացքում, ուստի DNS-ի փոփոխությունից հետո վերամիացումը դեռ գնում է հին հասցեին։ Փակիր հաճախորդը ամբողջությամբ՝ նորից փորձարկելուց առաջ, փոխանակ նույն պատուհանում անջատել և միացնել սեղմելու։
Պարզեք, թե որ արտաքին փաթեթն է անհետանում
Թունելն ունի արտաքին հոսք, որն ամբողջությամբ պատկանում է քեզ և սերվերի միջև եղած ուղուն, և հենց այդ հոսքն են միջանկյալ տուփերը դասակարգում ու գցում։ Գրավիր այն հաճախորդի վրա, ապա համեմատիր աշխատող ցանցը ձախողվողի հետ։ Windows-ում ներկառուցված գրավումը բավարար է առաջին հայացքի համար՝
pktmon filter remove
pktmon filter add -p 500 -t UDP
pktmon start --capture --pkt-size 128
pktmon stop
pktmon etl2txt PktMon.etlԴու ուզում ես տեսնել՝ փաթեթներդ ընդհանրապես դուրս են գալիս, և արդյոք ինչ-որ բան վերադառնում է։ Դուրս եկած փաթեթներ առանց վերադարձի նշանակում են, որ ուղին կամ հեռու ծայրը գցում է դրանք, իսկ եթե ընդհանրապես ոչինչ դուրս չի գալիս, հաճախորդը երբեք չհասավ ուղարկելուն, ինչը մատնանշում է անվան լուծումը կամ տեղական հրատապ պատի քաղաքականությունը։
Կրկնիր նույն փորձարկումը հեռախոսի հոթսփոթի վրա։ Սա ամենատեղեկատվական համեմատությունն է, որ հասանելի է քեզ, որովհետև այն ուղուց հանում է հյուրանոցի բոլոր տուփերը՝ նոութբուքը, հաճախորդը և հավատարմագրերը թողնելով նույնը։ Եթե թունելը բարձրանում է հոթսփոթի վրա, դադարիր սերվերին նայելուց։ Եթե այնտեղ էլ է ձախողվում, ունես հաճախորդի կամ հաշվի խնդիր, որը ցանցը երբեք չի առաջացրել։
Փոխեք մեկ տրանսպորտ և նորից փորձարկեք
Երբ իմանաս, որ արտաքին հոսքը գցվում է, գործնական հարցն այն է, թե ցանցն ինչ հոսք է թույլ տալիս։ Մեծ մասամբ սահմանափակ ցանցերը թույլ են տալիս ելքային TCP 443, որովհետև այլ կերպ չեն կարող աշխատել, ուստի լսիչը այնտեղ տեղափոխելը սովորական պատասխանն է, իսկ OpenVPN-ում սա հաճախորդի կողմի փոխարկիչ է, քանի դեռ սերվերը չի փոխվել։
openvpn --config corp.ovpn --proto tcp-client --remote vpn.example.net 443 --verb 4IPsec հաճախորդներն ունեն համարժեք փոխարկիչ իրենց կարգավորումների վահանակներում, սովորաբար նկարագրված որպես IPsec TCP-ի վրա կամ NAT-ի անցում։ Այն փոխելը նույնպես ախտորոշում է՝ եթե թունելը բարձրանում է TCP-ի վրա և մահանում UDP-ի վրա, դու ապացուցել ես, որ ցանցը զտում է UDP-ն, և նաև գտել ես այն կարգավորումը, որը պետք կգա ամեն այցելության ժամանակ։
Դիմադրիր գայթակղությանը՝ առաջին փորձից անջատել երթուղիչի գործառույթները։ Հյուրանոցային ցանցում վիճակային ստուգման կամ հեղեղի պաշտպանության անջատումը քեզ համար ամեն դեպքում հասանելի չէ, իսկ սեփական սարքավորումների վրա այն իրական պաշտպանությունը փոխանակում է մեկ նոութբուքի հետ։ Նշիր, թե որ կարգավորումը փոխեց արդյունքը, ապա վերադարձրու այն և փնտրիր տրանսպորտ, որը ցանցն արդեն թույլ է տալիս։
Ստուգեք նույն պրոֆիլը երկրորդ ցանցում
Նախքան տոմսը փակելը՝ ապացուցիր, որ փոփոխությունը դիմացավ շենքից դուրս գալուն։ Նորից միացիր սկզբնական ցանցին սկզբնական կարգավորումներով, գրավիր առաջին երեսուն վայրկյանը և հաստատիր, որ հաճախորդը հասնում է նույն վիճակին, ինչ հոթսփոթի վրա՝
pktmon filter add -p 443 -t TCP
pktmon start --capture
Get-VpnConnection -Name "Corp" | Select-Object ConnectionStatus, TunnelType, ServerAddressԱրժե պահել այն տարբերությունը, որը բացահայտում է վերջին հրամանը՝ պրոֆիլը կարող է հաղորդել միացված թունել, մինչ դրա ներսի երթուղավորումը սխալ է, և դա ստեղծում է «VPN-ը միացած է, բայց ոչինչ չի աշխատում», ինչը այլ հոդված է։ Եթե թունելի տեսակը փոխվել է քո խմբագրումից հետո, պրոֆիլը այն չէ, ինչ դու փորձարկել ես։
Ապա գրիր գտածոն այնտեղ, որտեղ կնայի հաջորդ մարդը։ «Կորպորատիվ պրոֆիլին այս վայրում պետք է TCP 443, իսկ UDP 500-ը զտում է հյուրանոցը» նախադասություն է, որի հիման վրա գործընկերը կարող է գործել։ «VPN-ը հյուրանոցներում անկայուն է» այդպիսին չէ, և երաշխավորում է, որ նույն ժամը հաջորդ ամիս նորից կվատնվի։