Иштеп жаткан VPN эмне үчүн жоопто убакыт бүтөт
Сурам жеке серверге жетүү — алмашуунун жарымы гана. Анын жообу туннель кардарын көздөлгөн шлюз, маршрут же котормо аркылуу табышы керек.
Сурам келет, сервер аны журналга жазат, ал эми кардар дагы эле убакыт бүткөнүн билдирет. Бул айкалыш төмөнкүнү билдирет: жооп кайра кайтуучу жолду таба алган жок, жана бул эки учтан бир эле учурда ырастоого боло турган аз сандагы бузулуулардын бири. Текшерүүлөрдү ирети менен аткарыңыз жана бири ийгиликсиз болсо, токтоңуз.
Сурам кайда келгенинен баштаңыз
Башка нерсени текшерүүдөн мурун пакеттин кызматка жеткенин ырастаңыз. Сервер тараптагы журнал жазуусу, туташуу эсептегичи же алыскы учта уруксат берилген кармоо — баары бир суроого жооп берет, ал эми алардын жоктугу сизди жоопко эмес, туннелге кайтарат. Бул — багыттоо маселесин кайтуу жолунун маселесинен ажыратуучу текшерүү.
Эгер сурам эч качан келбесе, ушул жерден токтоңуз. Туннель, жеке префикске маршруттоо же кирүү эрежеси — тема, ал эми жооптун жолу азырынча тиешеси жок. Сервер көргөн булак дарегин да жазып алыңыз. Ал кардарга берилген пул дареги же которулган дарек, жана бул айырма кийинки текшерүүлөрдүн кайсынысы колдонуларын аныктайт.
Жоопко пулга чейинки маршрут керек
Алыскы кирүү кардары адатта пулдан дарек алат, ал эми жеке тармакка ошол пулга кайтуучу маршрут керек. Демейки маршруту өз шлюзүнө багытталган сервер пакетти ошол шлюзгө берет, ал пулдун кайда экенин билбейт, ошондуктан жооп ошол жерде өлөт. Кардар убакыт бүткөнүн көрөт, анткени эч нерсе кайткан жок, жана муну эч качан чыкпаган сурамдан ажыратуу мүмкүн эмес.
Сервер өз ички тармагы үчүн колдонгон маршрутту эмес, кардардын дареги үчүн тандаган маршрутту текшериңиз. Бул эки издөө ар башка жооп бериши мүмкүн, жана бул жерде экинчиси маанилүү. Котормо — альтернативалуу долбоор жана ал сервер көргөн нерсени өзгөртөт. Ал кайтуу жолун жөнөкөйлөтүшү мүмкүн, ошондой эле кардардын баштапкы дарегин сервердин журналдарынан алып салат, бул ошол талаага курулган ар кандай эрежеге же отчётко таасир этет.
Сервердеги кармоону шлюздеги кармоо менен салыштырыңыз
Серверден чыкканды шлюзгө келген менен салыштырыңыз. Сервердин чыгуу интерфейсиндеги кармоо жана туннель шлюзүндөгү кармоо суроонун ар башка жарымына жооп берет, ал эми алардын ортосундагы ажырым жоготуунун ордун көрсөтөт.
ip route get 10.90.0.14
tcpdump -ni any host 10.90.0.14 and port 443
ip route show table all | grep 10.90.0.0| Where the reply stops | What it proves |
|---|---|
| Request in the server log, nothing on its outbound capture | The server picked a gateway that cannot reach the pool |
| Reply leaves the server but never shows up at the gateway | Loss on the LAN path, not on the tunnel |
| Reply reaches the gateway but not the client | Return translation or tunnel policy, not the server route |
Шлюз өзү жараткан сурам кардар тестинин начар алмаштыргычы, анткени ал башка даректен келип, башка эрежелерге туш болот. Ошондуктан шлюзден ийгиликтүү ping жана кардардан ийгиликсиз сурам бир эле учурда туура болушу мүмкүн.
Жолдо бир нече маршрутизатор болсо, пулга маршрут керек болгон ар бирин текшериңиз. Аймактан аймакка долбоор алыскы префикстин бир нече түзмөктө белгилүү болушун талап кылат, ал эми шлюз өзү туннель менен жергиликтүү тармактын ортосунда багыттоого тийиш; strongSwan'дын багыттоо боюнча жазуулары анын sysctl жана брандмауэр тарабын камтыйт.
Пулду, префиксти жана жооптууну жазыңыз
Жазууга төрт факт кирет: кардар алган пул, ага керек болгон жеке префикс, жоопко жооптуу маршрутизатор жана бар болсо котормо эрежеси. Ушулар менен кийинки шлюз алмашуу тергөө эмес, салыштыруу болот.
Андан кийин кадимки кардар жана колдонмонун чыныгы эсеби менен кайра сынаңыз. Колдонмо укуктарын кеңейтүү пакеттин кайтуу жолун оңдой албайт, ал эми бул диагностика учурунда эсепти алмаштыруу кийинки салыштырууну булжайт. Эгер долбоор котормого таянса, аны сервердин журналдары окулган жерде документтештириңиз. Аудит изинде белгисиз булак дарегин көргөн адам билеттен шайкештикти кайра издебеши керек.