Firwat eng funktionéierend VPN um Äntwert nach ëmmer an en Timeout leeft
Datt eng Ufro e private Server erreecht, ass just d'Halschent vum Austausch. Seng Äntwert muss de Tunnelsclient iwwer de virgesinnene Gateway, d'Route oder d'Iwwersetzung fannen.
D'Ufro kënnt un, de Server logt se, an de Client mëllt nach ëmmer en Timeout. Dës Kombinatioun heescht, datt d'Äntwert de Wee zeréck net fonnt huet, an dat ass eng vun de wéinege Feeler, déi s du vun zwou Säiten op eemol ka bestätegen. Schaff d'Kontrollen der Rei no of a stoppt, wann eng dovunner feelt.
Fänk domat un, wou d'Ufro ukomm ass
Bestäteg, datt de Paket de Service erreecht huet, ier s du eppes anescht ënnersichs. En Antrag am Log vum Server, en Zueler vu Verbindungen oder eng erlaabte Opnam um wäiten Enn beäntweren all déi selwecht Fro, an hire Fehlen schéckt dech zréck op den Tunnel amplaz virun op d'Äntwert. Dat ass d'Kontroll, déi e Problem mat der Weiderleitung vun engem Problem mam Réckwee trennt.
Wann d'Ufro ni ukomm ass, stoppt hei. Den Tunnel, d'Routing op de private Prefix oder d'Zougangsregel sinn d'Thema, an de Wee vun der Äntwert ass nach net relevant. Nott och d'Quelladress, déi de Server gesinn huet. Et ass entweder d'Pooladress, déi de Client kritt huet, oder eng iwwersat Adress, an deen Ënnerscheed bestëmmt, wéi eng vun de spéider Kontrollen zoutrëfft.
D'Äntwert brauch eng Route op de Pool
En Zougangsclient aus der Distanz kritt normalerweis eng Adress aus engem Pool, an de private Reseau brauch eng Route zréck op dee Pool. E Server, deem seng Standardroute op säin eegene Gateway weist, gëtt de Paket un dee Gateway weider, deen keng Ahnung huet, wou de Pool läit, also stierft d'Äntwert do. De Client gesäit en Timeout, well näischt zréckkoum, wat net vun enger Ufro z'ënnerscheeden ass, déi ni erausgaang ass.
Kontrolléier d'Route, déi de Server fir d'Clientadress auswielt, net déi Route, déi hien fir säin eegene Subnetz benotzt. Déi zwou Sich kënnen ënnerschiddlech Äntwerten erginn, an déi zweet ass déi, déi hei zielt. D'Iwwersetzung ass den alternative Konzept an et ännert, wat de Server gesäit. Et kann e Réckwee vereinfachen, an et hëlt och déi ursprénglech Clientadress aus de Loge vum Server, wat all Regel oder Rapport beaflosst, deen op deem Feld opgebaut ass.
Vergläich d'Opnam um Server mat der Opnam um Gateway
Vergläich, wat de Server verléisst, mat deem, wat um Gateway ukomm ass. Eng Opnam um erausgoenden Interface vum Server an eng Opnam um Tunnelsgateway beäntweren ënnerschiddlech Halschenten vun der Fro, an d'Lück tëschent hinnen lokaliséiert de Verloscht.
ip route get 10.90.0.14
tcpdump -ni any host 10.90.0.14 and port 443
ip route show table all | grep 10.90.0.0| Where the reply stops | What it proves |
|---|---|
| Request in the server log, nothing on its outbound capture | The server picked a gateway that cannot reach the pool |
| Reply leaves the server but never shows up at the gateway | Loss on the LAN path, not on the tunnel |
| Reply reaches the gateway but not the client | Return translation or tunnel policy, not the server route |
Eng Ufro, déi de Gateway selwer generéiert, ass en schlechten Ersatz fir en Test vum Client, well se vun enger anerer Adress hierkënnt an op aner Regele stéisst. Dofir kënnen e gelongene Ping vum Gateway an eng feelgeschloen Ufro vum Client gläichzäiteg wouer sinn.
Wann et verschidde Router um Wee gëtt, kontrolléier jiddereen, deen eng Route op de Pool brauch. En Design vu Standuert zu Standuert verlaangt dacks, datt de wäite Prefix op méi wéi engem Apparat bekannt ass, an de Gateway selwer muss tëschent dem Tunnel an dem LAN weiderleeden; d'Weiderleitungsnotizen vu strongSwan deckelen déi sysctl- a Firewall-Säit dovunner of.
Nott de Pool, de Prefix an den Verantwortlechen
Véier Fakten gehéieren an d'Notiz: de Pool, deen de Client kritt huet, de private Prefix, deen e gebraucht huet, de Router, deen fir d'Äntwert verantwortlech ass, an d'Iwwersetzungsregel, wann et eng gëtt. Domat ass eng spéider Ännerung vum Gateway e Verglach an net eng Enquête.
Test duerno nach eng Kéier mat engem normale Client an dem richtegen Applikatiounskonto. D'Erweiderung vun den Applikatiounsrechter kann den Réckwee vun engem Paket net reparéieren, an eng Kontenännerung wärend dëser Diagnos wäert de nächste Verglach duercherneen bréngen. Wann den Design op d'Iwwersetzung setzt, dokumentéier se do, wou d'Loge vum Server gelieft ginn. Wien an enger Auditspur eng onbekannt Quelladress gesäit, sollt d'Zouuerdnung net aus engem Ticket erëm entdecke mussen.