Mengapa VPN yang Berfungsi Tetap Kehabisan Waktu pada Balasannya
Permintaan yang mencapai server privat hanyalah separuh pertukaran. Balasannya harus menemukan klien terowongan lewat gateway, rute, atau terjemahan yang dimaksud.
Permintaan tiba, server mencatatnya, dan klien tetap melaporkan waktu habis. Kombinasi itu berarti balasannya tidak menemukan jalan kembali, dan itu salah satu dari sedikit kegagalan yang bisa Anda pastikan dari kedua ujung sekaligus. Kerjakan pemeriksaan berurutan dan berhenti ketika salah satunya gagal.
Mulai dari tempat permintaan tiba
Pastikan paket sampai ke layanan sebelum Anda memeriksa hal lain. Entri log di sisi server, penghitung koneksi, atau tangkapan yang diizinkan di ujung jauh semuanya menjawab pertanyaan yang sama, dan ketiadaannya mengirim Anda kembali ke terowongan alih-alih maju ke balasan. Inilah pemeriksaan yang memisahkan masalah penerusan dari masalah jalur kembali.
Jika permintaan tidak pernah tiba, berhentilah di sini. Terowongan, perutean ke prefiks privat, atau aturan akses adalah pokoknya, dan jalur balasan belum relevan. Catat juga alamat sumber yang dilihat server. Alamat itu entah alamat kumpulan yang diberikan kepada klien atau alamat hasil terjemahan, dan perbedaan itu menentukan pemeriksaan mana yang berlaku berikutnya.
Balasan membutuhkan rute ke kumpulan alamat
Klien akses jarak jauh biasanya menerima alamat dari kumpulan, dan jaringan privat membutuhkan rute kembali ke kumpulan itu. Server yang rute bawaannya menunjuk ke gateway-nya sendiri menyerahkan paket ke gateway itu, yang tidak tahu di mana kumpulan berada, sehingga balasannya mati di sana. Klien melihat waktu habis karena tidak ada yang kembali, dan itu tidak bisa dibedakan dari permintaan yang tidak pernah keluar.
Periksa rute yang dipilih server untuk alamat klien, bukan rute yang digunakannya untuk subnetnya sendiri. Kedua pencarian itu bisa memberi jawaban berbeda, dan yang kedua adalah yang penting di sini. Terjemahan adalah rancangan alternatif dan mengubah apa yang dilihat server. Terjemahan bisa menyederhanakan jalur kembali, dan juga menghapus alamat asli klien dari log server, yang memengaruhi aturan atau laporan apa pun yang dibangun di atas bidang itu.
Bandingkan tangkapan di server dengan tangkapan di gateway
Bandingkan apa yang meninggalkan server dengan apa yang tiba di gateway. Tangkapan pada antarmuka keluar server dan tangkapan pada gateway terowongan menjawab dua paruh pertanyaan yang berbeda, dan celah di antaranya menunjukkan lokasi kehilangan.
ip route get 10.90.0.14
tcpdump -ni any host 10.90.0.14 and port 443
ip route show table all | grep 10.90.0.0| Where the reply stops | What it proves |
|---|---|
| Request in the server log, nothing on its outbound capture | The server picked a gateway that cannot reach the pool |
| Reply leaves the server but never shows up at the gateway | Loss on the LAN path, not on the tunnel |
| Reply reaches the gateway but not the client | Return translation or tunnel policy, not the server route |
Permintaan yang dihasilkan gateway itu sendiri adalah pengganti yang buruk bagi uji dari klien, karena berasal dari alamat berbeda dan bertemu aturan berbeda. Itulah sebabnya ping yang berhasil dari gateway dan permintaan yang gagal dari klien bisa sama-sama benar.
Ketika ada beberapa router di jalur, periksa setiap router yang membutuhkan rute ke kumpulan alamat. Rancangan situs-ke-situs sering menuntut prefiks jauh diketahui di lebih dari satu perangkat, dan gateway itu sendiri harus meneruskan antara terowongan dan LAN; catatan penerusan strongSwan mencakup sisi sysctl dan tembok api dari hal itu.
Catat kumpulan, prefiks, dan pemiliknya
Empat fakta masuk ke catatan: kumpulan yang diterima klien, prefiks privat yang dibutuhkannya, router yang bertanggung jawab atas balasan, dan aturan terjemahan bila ada. Dengan itu, perubahan gateway di kemudian hari menjadi perbandingan, bukan penyelidikan.
Lalu uji ulang dengan klien biasa dan akun aplikasi yang sebenarnya. Memperluas hak istimewa aplikasi tidak bisa memperbaiki jalur kembali sebuah paket, dan perubahan akun yang dilakukan selama diagnosis ini akan mengacaukan perbandingan berikutnya. Jika rancangan bergantung pada terjemahan, dokumentasikan di tempat log server dibaca. Orang yang melihat alamat sumber tak dikenal di jejak audit tidak seharusnya menemukan ulang pemetaannya dari tiket.