Firwat eng VPN verbonne ka schéngen, wärend näischt funktionéiert

Äre Client mellt verbonnen, wärend d'Interface uewen ass an de Browser an en Timeout leeft, an keng vun dësen dräi Aussoe ass falsch. Verbunne beschreift eng Schicht, déi näischt mat der Säit ze dinn huet, déi Dir ugefrot hutt. Fir ze entscheeden, wéi eng Schicht mellt, brauch een eng nei Ufro an ee Bléck op de Compteur, dee beweise géif, datt den Trafik sech beweegt huet. En Neistart werft dës Bewäis fort an baut d'Bedingunge nei op, déi Dir versicht hutt ze observéieren.

Dräi verschidde Saachen, déi verbunne genannt ginn

Ganz ënnen kann verbunne heeschen, datt e Clientprozess leeft an e Socket a Richtung vun engem Peer hält. Doriwwer kann et heeschen, datt eng Interface mat enger Adress existéiert, déi en dauerhaft Gerät oder eng Erhuelungsroutine ouni lieweg Sessioun hannendrun uleeë kann. Op der Kontrollschicht kann et heeschen, datt eng Associatioun ausgehandelt gouf, wat näischt doriwwer seet, ob ee Pak ënner hir duerchgaang ass. Jiddwereen dovun iwwerlieft Feeler, déi déi aner net iwwerliewen, an e Client weist normalerweis dee stäerksten, deen hien behaapte kann.

En gréngt Symbol an en doudegen Tunnel sinn dofir kompatibel an net widderspréchlech; si mellen iwwer verschidden Objeten. Dat ass de ganzen Grond, firwat dëse Feeler ëmmer erëm als Clientfeeler falsch diagnostizéiert gëtt.

Schéckt eng harmlos Ufro un en Zil, dat Dir wierklech braucht, ier Dir den Daemon beréiert, a loosst de erfuerderleche Block fir direkten Trafik a Plaz, wärend Dir schafft. En Neistart läscht d'Reiefolleg vun den Evenementer an erstellt se duerno no genuch erëm, fir d'Ursaach ze verstoppen, dofir kënnt dee selwechten Ticket eng Woch méi spéit zeréck ouni eppes Neies dran. Eng Ufro, eng Compteurleesung an den Ausléiser, deen de Feeler ausgeléist huet, sinn de Mindestbeweis.

Wéi ee Compteur beweist, datt d'Pakete sech beweegt hunn

An IPsec sinn d'IKE-Associatioun an d'CHILD-Associatioun getrennt Objeten, an nëmmen d'child dréit d'Compteuren, déi dës Fro beäntwerten. Lëscht d'child op, kuckt ob d'Paketen a béide Richtungen zouhuelen, a vergläicht dat mat deem, wat d'Applikatioun versicht ze maachen. Eng installéiert Associatioun op null ass eng aner Feststellung wéi eng, déi zouhëlt, wärend d'Applikatioun nach ëmmer feelt; déi éischt bedeit, datt den Trafik net ausgewielt gëtt, déi zweet, datt e sech beweegt an de Feeler méi wäit ass. Liest d'Compteuren zweemol, e puer Sekonnen auseneen, well eng eenzeg Probe kee Trend weise kann.

swanctl --list-sas
ip xfrm state list
ip -s link show dev tun0

Nullcompteuren deiten op d'Auswiel: Routing, Politik, en Nummraum, aus deem de Pak erausgaang ass, oder eng Interface, un déi de Client ni gebonnen huet. Wuesstem Compteuren deiten ewech vum Tunnel, also fuert weider mat Viruleedung um wäiten Enn, Nummopléisung, dem Wee zréck an dem Zilsdéngscht, an där Reiefolleg. E Protokoll ouni getrennt child-Objet leet dee selwechte Beweis a sengen eegenen Termini op, also benotzt wat et iwwer de Peerzoustand an d'Paketzuel mellt, amplaz d'IPsec-Vokabular ze léinen. D'Form vun der Leesung zielt méi wéi dat Instrument, dat se erstallt huet.

Wou de Feeler sëtzt, nodeem d'Compteuren sech beweegt hunn

En Gateway, deen op senger eegener Verwaltungsadress äntwert, beweist, datt de Gateway leeft, net datt eppes hannendrun Är Ufro zerwéiert, also test de wäiten Deel an net d'Këscht an der Mëtt. Nummopléisung verstoppt Feeler am beschten, well en Opléiser, deen net duerch den Tunnel erreechbar ass, genee wéi eng doudeg Verbindung an en Timeout leeft. Zwou Recherchen trennen déi Fäll, an déi zwou si bëlleg. Frot fir d'éischt den Opléiser, deen den Tunnel duerchdréckt, a frot duerno en ëffentlechen Opléiser nom selwechten Numm.

dig +short host.example
dig +short @10.20.0.1 host.example
ping -c 2 10.20.0.25

En Numm, deen iwwer den ëffentlechen Opléiser opgeléist gëtt awer net iwwer den Tunnelopléiser, bedeit, datt den DNS-Wee gebrach ass, wärend en Numm, deen iwwer béid opgeléist gëtt an nach ëmmer am Browser an en Timeout leeft, op de Wee zréck oder op den Déngscht weist. Wann de Ping iwwer d'Adress geléngt an d'Applikatioun nach ëmmer refuséiert, huet den Netz d'Ufro geliwwert an den Déngscht huet se refuséiert, wat eng ganz spéider Etapp ass.

Schreif den Ausléiser op, da ännert eng Saach

Schreif op, wat virum Feeler war: eng Period Inaktivitéit, eng Netzwierkännerung, eng Schlësselerneierung, en erëm opgehuewe Laptop oder en restauréierte System. Déi produzéieren ënnerschiddlech Mechanismusen, an normalerweis reparéiert sech nëmmen de restauréierte System selwer, wat genee de Fall ass, deen Iech näischt bäibréngt. En Neistart hëlt d'Reiefolleg vun den Evenementer ewech an erstellt duerno Bedingunge no genuch, fir d'Ursaach ze verstoppen. Schreif den Ausléiser op, soulaang en nach reproduzéierbar ass.

Maacht dann eng ënnerstëtzt Korrektur a widderhëlt déi ursprénglech Ufro zesumme mam Ausléiser, deen de Feeler ausgeléist huet. Inaktivitéit ass den einfachsten Ausléiser fir ze reproduzéieren, dofir ass et déi séierst Bestätegung, datt d'Korrektur de Mechanismus an net de Symptom ugepaakt huet.

Wat Dir melle wëllt, ass de Beweis, datt den Trafik, deen Dir schicke wollt, den Déngscht erreecht huet, deen Dir erreeche wollt. En Symbol, dat gréng gëtt, eng Säit aus dem Cache, déi lued, an e Compteur, dee sech beweegt, beweisen all manner wéi eng fäerdeg Ufro géint dat virgesinn Zil. Halt d'Ufro, d'Compteurleesung an den Ausléiser zesummen, sou datt déi nächst Persoun eng Korrektur vun engem Zoufall ënnerscheede kann.