Viešas VPN sąrašas sako prisijungęs; tavo klientas sako ne

Atidarai katalogą, surikiuoji pagal greitį, pasirenki mazgą, pažymėtą kaip prisijungusį, ir klientas pasiduoda nebaigęs jungtis. Sąrašas nemelavo, tiksliai tariant. Jis pranešė kito žmogaus patikros rezultatą, iš kito tinklo, ankstesniu momentu, prieš paslaugą, kurią savanoris gali išjungti bet kada. Šio atotrūkio supratimas varginančią paiešką paverčia trumpa patikrų seka, kurią gali paleisti bet kuriam kandidatui.

Ką sąrašas iš tikrųjų išmatavo

Viešas katalogas saugo laukus, tokius kaip paskutinės patikros laikas, stebėta kelionės pirmyn ir atgal reikšmė, sesijų skaičius ir kartais protokolų sąrašas. Kiekvienas jų apibūdina paskutinį sėkmingą stebėjimą paties projekto požiūriu, o ne mazgo būseną, kai atvyksta tavo paketas.

Šviežumas svarbesnis už skaičių. Prieš keturias minutes patikrintas mazgas ir prieš keturias valandas patikrintas mazgas gali rodyti tą patį žalią žymeklį, ir tik vienas jų dar primena užfiksuotą būseną. Ieškok laiko žymos, o ne spalvos.

Savanoriškas valdymas prideda antrą pokyčių šaltinį, kurio joks monitorius negali ištaisyti. Operatorius galbūt perkrauna nešiojamąjį kompiuterį, jam baigiasi pralaidumas, jis keičia tiekėją arba tiesiog uždaro dangtį. Sąrašo įrašas yra kandidatas, o jo traktavimas kaip paslaugos lygio susitarimas yra kategorijos klaida.

Stebėk kliento etapus, o ne sukiklį

Kiekvienas VPN klientas praeina tą pačią plačią seką: išspręsti vardą, atidaryti transporto ryšį, derėtis dėl saugumo, autentifikuotis, tada sukonfigūruoti tunelį ir perduoti duomenis. Kiekvieno etapo nesėkmė palieka skirtingus įrodymus, o sukiklis nerodo nė vieno jų.

Pradėk nuo vardo sprendimo. Jei pagrindinio kompiuterio vardas neišsprendžiamas, nieko apie mazgo prieinamumą nebuvo patikrinta, nes ryšys niekada neišėjo iš tavo mašinos. Toliau transportas: atmestas arba laiko pasibaigęs TCP ar UDP mainas pasako, kad galinis taškas tame porte neatsako, ir tai tikras atradimas apie mazgą. Tada derybos ir autentifikavimas, kur neteisingas sertifikatas, pasibaigęs profilis arba netinkamas šifras nepavyksta, nors mazgas visiškai sveikas. Tik sukonfigūravus tunelį maršrutizavimo ar DNS gedimas gali paaiškinti paskutinį žingsnį.

Skaityk kliento žurnalą didžiausiu detumu, kuris dar telpa ekrane, ir pažymėk paskutinę sėkmingą eilutę. Nuo tos eilutės prasideda diagnostika, ir ji paprastai informatyvesnė už viską, ką rodo katalogas.

Vienas kintamasis vienam bandymui

Palygink kandidatus su tuo pačiu klientu, tuo pačiu prieigos tinklu ir tuo pačiu profilio formatu, keisdamas tik galinį tašką. Priešingu atveju gedimas gali būti tavo, ir tu jį priskirsi mazgui.

Dviejų bandymų pakanka modeliui nustatyti, o trečias jį patvirtina. Jei mazgas A nepavyksta transporto etape, o mazgas B autentifikavimo, turi dvi nesusijusias problemas, o ne vieną pasenusį sąrašą.

Kai kiekvienas mazgas nepavyksta taip pat

Universali pirmojo etapo nesėkmė rodo į tavo pusę: sprendėjas, kuris negali atsakyti, vietinė ugniagesinė, blokuojanti protokolą, arba tinklas, leidžiantis tik žiniatinklio srautą. Katalogas to pranešti negali, nes jo patikros nevyksta iš tavo vietos.

Sąmoningai patikrink suformuoto tinklo atvejį. Kai kurie prieigos tinklai leidžia HTTPS į žiniatinklį ir išmeta kitus protokolus, todėl kiekvienas kandidatas atrodo miręs, nors sąrašas tikslus. Naršyklės puslapio įkėlimo palyginimas su neapdorotu ryšio bandymu atskiria šias dvi situacijas greičiau nei per minutę.

Skaityk gedimą tame etape, kuriame jis įvyko

Atkurk bandymą terminale, kad etapai būtų matomi. Trys žemiau esančios komandos išsprendžia vardą, patikrina, ar portas atsako, ir atspausdina derybų eilutes iš OpenVPN profilio:

dig +short node.example.net
curl -s --max-time 5 telnet://node.example.net:443
openvpn --config node.ovpn --verb 4 2>&1 | grep -iE "TLS|AUTH|PUSH"

Jei portas atsako ir derybų eilutė praneša apie sertifikato problemą, mazgas veikia, o tavo profilis pasenęs. Jei portas visiškai neatsako, įrašas yra nepavykęs kandidatas, ir perėjimas prie kito yra teisingas atsakymas, o ne kliento derinimas. Užrašyk etapą trumpoje eilutėje, ir kitas bandymas prasideda nuo žinių, o ne nuo vilties.