VPN verbonnen, awer een Déngscht fält: isoléier d’Etapp

En ofgeschlossenen Handshake seet näischt iwwer den Numm, d’Route, d’Pakettgréisst oder de Listener. Gitt véier Etappen duerch a loosst deen éischte Feeler de Feeler benennen.

„Verbunnen“ ass dee mannst informatiivsten Detail an engem VPN-Ticket. Et hält fest, datt zwee Peeren en Handshake ofgeschloss hunn, an näischt iwwer den Numm, dee gefrot gouf, den Interface, duerch deen d’Pakett erausgaang ass, seng Gréisst, oder ob déi aner Säit et ugeholl huet. Dofir kann een Déngscht feelen, wärend all aner Applikatioun um selwechte Laptop funktionéiert. Gitt d’Etappen an der Rei duerch an déi éischt, déi fält, benennt de Feeler.

Fänkt mam Numm un, net mam Tunnel

Léist op, ier Dir rout, well eng schlecht Äntwert all spéider Test sënnlos mécht. Fro den Numm beim Systemresolver a vergläich déi Äntwert mat der Adress, déi d’Applikatioun tatsächlech benotzt huet. En private Numm, deen als ëffentlech Adress zréckkënnt, bedeit, datt d’Ufro bei e Resolver gaangen ass, dee keng Aufgab huet, se ze beäntweren. En Numm, deen sech net opléist, ass déiselwecht Kategorie, just méi haart.

resolvectl query host.internal
getent hosts host.internal

Browsere mat hirer eegener Astellung fir séchert DNS feelen hei, wärend de Rescht vum System funktionéiert. Dofir gehéiert eng Plainte just iwwer de Browser fir d’éischt an dës Etapp, ier een eng Route beréiert. Vergläicht béid Kommandoen, net eng, well getent dem NSS-Wee follegt an d’Resolver-Ufro net.

Frot de Kernel, wéi ee Wee hien gewielt huet

D’Routingtabell ass eng Prioritéitsreihenfolge, an de Wee, deen de Kernel wielt, ass net ëmmer deen aus dem Diagramm. Frot hien direkt no der betraffener Destinatioun. D’Äntwert nennt den Interface, den nächsten Hop an d’Quelladress, déi benotzt gëtt. E Pakett kann duerch den Tunnel erausgoen an eng Quelladress droen, déi déi aner Säit refuséiert, an en spezifeschen Entrée an der physescher Tabell kann et amplaz duerch den Wi-Fi-Interface schécken.

ip route get 10.20.30.40
ip -brief address show

Liest d’Felder dev, via an src an där Reihenfolge, well jiddwereen en aneren Verdacht eliminéiert. Dës Etapp besëtzt och den Zoustand, deen de Client installéiert huet, well Firewall-Reegelen a Routen no engem anormale Sortie kënne bestoen bleiwen. Dofir sinn „keen Internet ouni den Tunnel“ a „keen Internet, ausser de Client leeft“ eng Famill vu Feeler, net zwou.

Test d’Pakettgréisst

Eng kleng Äntwert, déi zréckkënnt, wärend eng grouss Iwwerdroung stoe bleift, weist fir d’éischt op d’MTU vum Wee. Eng eenzeg Probe mam gesate do-not-fragment-Bit, vum Tunnel aus geschéckt, trennt dës Etapp vun deenen aneren. Erhéicht d’Payload, bis d’Probe fält, an Dir hutt d’Zuel, op déi et ukënnt.

ping -M do -s 1400 10.20.30.40

Kleng Proben, déi duerchginn, wärend eng Verzeechneslëscht oder en Upload hängt, sinn d’Signatur vun dëser Etapp. D’Plainte kléngt no Umellungsdaten oder enger Firewall-Reegel, an et ass weder dat nach dat.

D’Zuel ass eng Eegeschaft vum Wee, net vum Client, dofir kann e Wäert, deen op enger Bürosverbindung funktionéiert, op enger mobiler Verbindung feelen. Halt d’Probe-Kommando beim Ticket, well déi nächst Persoun déi selwecht Mooss brauch. Wann eng méi kleng Payload duerchkënnt, ass d’Léisung e Clamp oder eng méi niddreg Tunnel-MTU, net en neien Cipher.

Test déi aner Säit

Test d’Destinatioun mat hirer Adress, a kuck duerno, wat do lauschtert. Eng refuséiert Verbindung an eng Verbindung, déi ni äntwert, sinn ënnerschiddlech Befunde. Déi éischt seet, datt eppes leeft an dee Port net bedéngt, an déi zweet seet, datt näischt zréckkomm ass. Keng vun deenen zwou ass standardméisseg e Clientproblem.

curl -sv http://10.20.30.41:8080/health
nc -vz -w 3 10.20.30.41 3389
ss -lnt 'sport = :8080'

Näischt, wat duerch en Tunnel erreechbar ass, kann en Déngscht sinn, deen nëmmen op 127.0.0.1 lauschtert, well de Listener d’Pakett ni gesäit. Wann d’Firewall vum wäitem Host d’Büros-Subnet erlaabt an de Tunnel-Pool refuséiert, gesäit d’Resultat wéi e Clientfeeler aus an ass et net. Remote Desktop oder Dateifreigabe, déi briechen, wärend Web-Traffic iwwerlieft, landen normalerweis hei, wéi de Benotzer et och formuléiert.

Maapt d’Plainte op eng Etapp

Déi meescht Rapporte falen an eng vun fënnef Formen, an all Form nennt eng Etapp. Eng Säit, déi nëmmen duerch den Tunnel funktionéiert, ass eng Numm-Antwert oder eng Politik, déi un d’Quelladress gebonnen ass. Aktualiséierungen, déi ouni den Tunnel feelen, wärend d’Browsen funktionéiert, sinn e Numm- oder Routeproblem fir dee Client.

Datt alles stoppt, wann en Ubieder-Client start, ass installéierten Zoustand, also eng Fro vu Route a Firewall. Een Déngscht onerreechbar, wärend de Rescht gutt ass, ass déi aner Säit. Iwwerdroungen, déi no e puer Sekonnen stoe bleiwen, sinn d’Pakettgréisst. Passt d’Form un, ier Dir Kommandoen ausféiert, well se entscheet, wéi eng Beweiser fir d’éischt gesammelt ginn.

Notéiert d’Etapp, déi den éischte Feeler produzéiert huet, zesumme mat der Ausgab vum Kommando. En Ticket, dee seet, d’Quelladress wier falsch gewiescht, mat der Routezeil ugehaangen, ass et wäert, drop ze handelen, wärend een, deen de VPN als futti mëldt, et net ass.

Ähnlech Artikelen