რატომ ჯერ კიდევ დროის ამოწურვას იძლევა პასუხზე მომუშავე VPN
მოთხოვნის კერძო სერვერამდე მისვლა გაცვლის მხოლოდ ნახევარია. მისი პასუხი უნდა მოძებნოს გვირაბის კლიენტი განზრახ კარიბჭეზე, მარშრუტზე ან თარგმანზე გავლით.
მოთხოვნა მოდის, სერვერი მას ჟურნალში წერს და კლიენტი მაინც იტყობინება დროის ამოწურვაზე. ეს კომბინაცია ნიშნავს, რომ პასუხმა უკან დაბრუნების გზა ვერ იპოვა, და ეს ერთ-ერთი იმ მცირერიცხოვან გაუმართაობათაგანია, რომლის დადასტურებაც ერთდროულად ორივე ბოლოდან შეგიძლიათ. შეასრულეთ შემოწმებები რიგრიგობით და გაჩერდით, როცა რომელიმე მათგანი ვერ გაივლის.
დაიწყეთ იქიდან, სადაც მოთხოვნა მივიდა
სანამ სხვა რამეს შეამოწმებთ, დაადასტურეთ, რომ პაკეტი სერვისამდე მივიდა. სერვერის მხარეს ჟურნალის ჩანაწერი, კავშირების მთვლელი ან შორეულ ბოლოში ნებადართული აღება — ყველა ერთსა და იმავე კითხვას პასუხობს, და მათი არქონა გიბრუნებთ გვირაბთან და არა პასუხისკენ. ეს არის ის შემოწმება, რომელიც გამტარების პრობლემას დაბრუნების გზის პრობლემისგან გამოყოფს.
თუ მოთხოვნა არასოდეს მოსულა, აქ გაჩერდით. გვირაბი, მარშრუტიზაცია კერძო პრეფიქსამდე ან წვდომის წესია თემა, და პასუხის გზა ჯერ არ არის შესაბამისი. ჩაწერეთ ასევე წყაროს მისამართი, რომელიც სერვერმა ნახა. ეს ან აუზის მისამართია, რომელიც კლიენტმა მიიღო, ან თარგმნილი მისამართი, და ეს სხვაობა განსაზღვრავს, შემდგომი შემოწმებებიდან რომელი ვრცელდება.
პასუხს აუზამდე მარშრუტი სჭირდება
დისტანციური წვდომის კლიენტი ჩვეულებრივ აუზიდან იღებს მისამართს, და კერძო ქსელს ამ აუზამდე დაბრუნების მარშრუტი სჭირდება. სერვერი, რომლის ნაგულისხმევი მარშრუტი საკუთარ კარიბჭეზე მიუთითებს, პაკეტს ამ კარიბჭეს გადასცემს, რომელმაც არ იცის სად არის აუზი, ამიტომ პასუხი იქ იღუპება. კლიენტი დროის ამოწურვას ხედავს, რადგან არაფერი დაბრუნდა, და ამის გარჩევა იმ მოთხოვნისგან, რომელიც არასოდეს გასულა, შეუძლებელია.
შეამოწმეთ მარშრუტი, რომელსაც სერვერი კლიენტის მისამართისთვის ირჩევს და არა ის, რომელსაც საკუთარი ქვექსელისთვის იყენებს. ამ ორმა ძიებამ შეიძლება სხვადასხვა პასუხი მოგვცეს, და აქ მეორეა მთავარი. თარგმანი ალტერნატიული კონსტრუქციაა და ის ცვლის იმას, რასაც სერვერი ხედავს. მან შეიძლება გაამარტივოს დაბრუნების გზა, და ასევე შლის კლიენტის საწყის მისამართს სერვერის ჟურნალებიდან, რაც გავლენას ახდენს ნებისმიერ წესზე ან ანგარიშზე, რომელიც ამ ველზეა აგებული.
შეადარეთ სერვერზე აღება კარიბჭეზე აღებას
შეადარეთ ის, რაც სერვერს ტოვებს, იმას, რაც კარიბჭემდე აღწევს. აღება სერვერის გამავალ ინტერფეისზე და აღება გვირაბის კარიბჭეზე კითხვის სხვადასხვა ნახევარს პასუხობს, და მათ შორის სხვაობა ზარალის ადგილს გვიჩვენებს.
ip route get 10.90.0.14
tcpdump -ni any host 10.90.0.14 and port 443
ip route show table all | grep 10.90.0.0| Where the reply stops | What it proves |
|---|---|
| Request in the server log, nothing on its outbound capture | The server picked a gateway that cannot reach the pool |
| Reply leaves the server but never shows up at the gateway | Loss on the LAN path, not on the tunnel |
| Reply reaches the gateway but not the client | Return translation or tunnel policy, not the server route |
თავად კარიბჭის მიერ შექმნილი მოთხოვნა კლიენტის ტესტის ცუდი შემცვლელია, რადგან ის სხვა მისამართიდან მოდის და სხვა წესებს ხვდება. ამიტომ კარიბჭიდან წარმატებული ping და კლიენტიდან წარუმატებელი მოთხოვნა შეიძლება ერთდროულად მართალი იყოს.
როცა გზაზე რამდენიმე მარშრუტიზატორია, შეამოწმეთ თითოეული, რომელსაც აუზამდე მარშრუტი სჭირდება. ადგილიდან ადგილამდე კონსტრუქცია ხშირად მოითხოვს, რომ შორეული პრეფიქსი ერთზე მეტ მოწყობილობაზე იყოს ცნობილი, და თავად კარიბჭემ უნდა გადასცეს გვირაბსა და ლოკალურ ქსელს შორის; strongSwan-ის გამტარების შენიშვნები მოიცავს ამის sysctl და ფაირვოლის მხარეს.
ჩაწერეთ აუზი, პრეფიქსი და პასუხისმგებელი
ჩანაწერში ოთხი ფაქტი შედის: აუზი, რომელიც კლიენტმა მიიღო, კერძო პრეფიქსი, რომელიც მას სჭირდებოდა, მარშრუტიზატორი, რომელიც პასუხზეა პასუხისმგებელი, და თარგმანის წესი, თუ არსებობს. მათთან ერთად მოგვიანებით კარიბჭის შეცვლა შედარებაა და არა გამოძიება.
შემდეგ ხელახლა გამოსცადეთ ჩვეულებრივი კლიენტით და აპლიკაციის ნამდვილი ანგარიშით. აპლიკაციის უფლებების გაფართოება ვერ შეაკეთებს პაკეტის დაბრუნების გზას, და ამ დიაგნოსტიკის დროს ანგარიშის შეცვლა მომდევნო შედარებას აირევს. თუ კონსტრუქცია თარგმანს ეყრდნობა, დააფიქსირეთ ის იქ, სადაც სერვერის ჟურნალებს კითხულობენ. ვინც აუდიტის კვალში უცხო წყაროს მისამართს ხედავს, არ უნდა ხელახლა აღმოაჩინოს დაკავშირება ბილეთიდან.