D'VPN verbënnt doheem, awer leeft am Hotel-Wi-Fi an en Timeout
Dee selwechten Laptop, dee selwechte Kont, en anert Netz. Liest de Feelerkode als eng Phas, iwwerpréift den Numm, an dann hält de baussenzege Pak fest, ier der eng Astellung ännert.
Den Laptop verbënnt sech mam Wi-Fi doheem, de Client verbënnt a dräi Sekonnen, an dee selwechte Profil feelt eng Stonn méi spéit am Hotel. Tëschent ass näischt aktualiséiert ginn. Dëst mat engem Client virun Iech duerchzegoen geet virun allem drëm ze wëssen, wéi ee Feeler zu wéi enger Phas gehéiert, well déi nëtzlech Informatioun ass am Kode, deen de Client dréckt, net an der Tatsaach, datt et feelgeschloen ass. Schaff déi véier Schrëtt hei drënner an der Rei of an du weess, ob en Numm, e Pak, en Port oder eng Politik dech ofgeleent huet.
Liest de Feelerkode als Phas, net als Urteel
De Client erreecht dräi getrennte Meilesteng, ier en Tunnel existéiert. Hien opléist den Numm vum Server, hie kritt eng Äntwert vun eppes am Netz, an hie verhandelt eng Sécherheetsassociatioun. All Meilesteen huet seng eegen Feelermeldung, an besonnesch Windows ass generéis mat ënnerschiddleche Codes, wann een eemol weess, zu wéi enger Phas se gehéieren.
| What the client says | Stage that failed | First thing to run |
|---|---|---|
| 868, name did not resolve | DNS, before any packet leaves for the server | Resolve-DnsName vpn.example.net |
| 721 or 806, remote computer did not respond | Outer protocol filtered, typically GRE or UDP | A capture on the local interface |
| 809, server not responding | A device in the path is dropping the outer flow | The same capture, from a second network |
| 789, security layer error | The security exchange started and was rejected | Certificate and proposal settings on both ends |
Zwee vun deene Code bedeiten, datt d'Netz onschëlleg ass. Eng 789 heescht, datt d'Pakken gefloss sinn an déi zwou Säiten sech iwwer Krypto net eens waren, wat e Konfiguratiounsproblem ass, deen s du doheem reparéiere kanns. Eng 868 heescht, datt kee Pak ni huet misse rausgoen, also ass den Tunneldesign irrelevant, bis den Numm opgeléist ass. De Code an déi richteg Phas ze sortéieren spuert méi Zäit wéi all Opnam, well et der seet, wéi ee vun den nächsten dräi Schrëtt s de ka sprange loossen.
Sief passend virsiichteg, wann de Client net Windows ass. Drëtt-Partei-Cliente quetschen de gréissten Deel dovunner op "Verbindung feelgeschloen", dofir verléissen déi nächst zwou Schrëtt sech guer net op d'Noriicht.
Iwwerpréift den Numm, ier der den Tunnel beschëllegt
Hotel- an Fluchhafennetzer fänken DNS stänneg of, an en Opléiser, deen mat enger Portaladress äntwert, produzéiert e Feeler, deen genee wéi en doudege Server ausgesäit. Vergläich, wat den lokalen Opléiser seet, mat deem, wat en ëffentlechen Opléiser seet:
Resolve-DnsName vpn.example.net -Type A
nslookup vpn.example.net 1.1.1.1
ipconfig /all | findstr /i "DNS Servers"Wann déi zwou Äntwerten ënnerschiddlech sinn, gëtts de geleet an de Rescht vun der Diagnos ass verschwend, bis dat geléist ass. Besonnesch eng Portaladress hëlt d'TCP-Verbindung gär un a geet dann an d'Stoe, dofir kann et wéi eng Firewallblockade ausgesinn, wann s du mat engem Browser testst.
Bestätegt elo, datt d'Adress, déi s du wëlls erreechen, déi ass, déi benotzt gëtt. E puer Cliente cache d'viregt Opléisung fir d'ganz Liewensdauer vum Profil, also geet eng Reconnect no der DNS-Ännerung nach ëmmer op déi al Adress. Maach de Client komplett zou, ier s de nach eng Kéier testst, amplaz am selwechte Fënster op Trennen a Verbannen ze drécken.
Fannt eraus, wéi ee baussenzege Pak verschwënnt
Den Tunnel huet en baussenzege Floss, dee komplett zum Wee tëscht dir an dem Server gehéiert, an et ass dee Floss, deen Duerchgangskëschte klassifizéieren an droppen. Hält en um Client fest, vergläicht dann en Netz, dat funktionéiert, mat deem, dat feelt. Op Windows ass d'agebaut Opnam genuch fir ee éischte Bléck:
pktmon filter remove
pktmon filter add -p 500 -t UDP
pktmon start --capture --pkt-size 128
pktmon stop
pktmon etl2txt PktMon.etlWat s du wëlls gesinn, ass ob deng Pakke iwwerhaapt rausgoen, an ob eppes zeréckkënnt. Pakken eraus ouni eppes zeréck heescht, datt de Wee oder dat wäit Enn se droppt; wann iwwerhaapt näischt rausgeet, ass de Client ni bis zum Schécke komm, wat zeréck op d'Nummopléisung oder op eng lokal Firewallpolitik weist.
Widderhuel dee selwechten Test op engem Handy-Hotspot. Dat ass deen eenzegen informativste Verglach, deen s du hues, well en all Këscht am Hotel aus dem Wee hëlt, wärend Laptop, Client an Umeldungsdaten déiselwecht bleiwen. Wann den Tunnel um Hotspot eropkënnt, hält op de Server unzekucken. Wann en och do feelt, hues du e Client- oder Kontproblem, dat d'Netz ni verursaacht huet.
Ännert een Transport a testt nach eng Kéier
Wann s du weess, datt de baussenzege Floss gedroppt gëtt, ass déi praktesch Fro, wéi ee Floss d'Netz awer erlaabt. Déi meescht ageschränkt Netzer erlaben erausgoenden TCP 443, well se soss net funktionéiere kënnen, also ass de Lauschterer dohin ze verleeën déi gewéinlech Äntwert. Op OpenVPN ass dat en Ëmschalter op der Clientsäit, bis de Server geännert gëtt:
openvpn --config corp.ovpn --proto tcp-client --remote vpn.example.net 443 --verb 4IPsec-Cliente hunn en equivalente Schalter an hiren eegenen Astellungs-Panelen, normalerweis beschriwwen als IPsec iwwer TCP oder NAT-Duerchgang. En z'änneren ass och eng Diagnos: wann den Tunnel iwwer TCP eropkënnt an iwwer UDP stierft, hues du bewisen, datt d'Netz UDP filtert, an du hues och d'Astellung fonnt, déi s de bei all Besuch vun deem Site brauchs.
Widdersteet der Versuchung, Routerfunktioune beim éischten Versuch ofzeschalten. Stateful Inspektioun oder Iwwerschwemmungsschutz an engem Hotellnetz ofzeschalten ass fir dech souwisou net verfügbar, an op denger eegener Hardware tauscht et e richtege Schutz géint ee Laptop. Nottéier, wéi eng Astellung d'Resultat geännert huet, setz se dann zréck a sicht en Transport, deen d'Netz schonn erlaabt.
Iwwerpréift dee selwechte Profil am zweeten Netz
Ier s de den Ticket zoumaachst, beweis, datt d'Ännerung d'Gebai verlooss huet an iwwerlieft huet. Verbänn dech nach eng Kéier um ursprénglechen Netz mat den ursprénglechen Astellungen, hält déi éischt drësseg Sekonnen fest, a bestätegt, datt de Client dee selwechte Staat erreecht wéi um Hotspot:
pktmon filter add -p 443 -t TCP
pktmon start --capture
Get-VpnConnection -Name "Corp" | Select-Object ConnectionStatus, TunnelType, ServerAddressDen Ënnerscheed, deen de leschte Befehl opdeckt, ass et wäert ze behalen: de Profil kann en verbonnenen Tunnel mellen, während d'Routing dobannen falsch ass, an dat produzéiert "d'VPN ass uewen, awer näischt funktionéiert", wat en aneren Artikel ass. Wann den Tunneltyp no denger Ännerung geännert huet, ass de Profil net deen, deen s du getest hues.
Schreif dann d'Befindung dohinner, wou déi nächst Persoun wäert kucken. "De Firmeprofil brauch TCP 443 op dësem Site; UDP 500 gëtt vum Hotel gefiltert" ass e Saz, op deem e Kolleg ka reagéieren. "D'VPN ass onbestänneg an Hotellen" ass et net, an et garantéiert, datt déiselwecht Stonn d'nächsten Mount nach eng Kéier verschwend gëtt.