VPN ryšio skirtasis laikas: DNS, transportas, derybos ar prisijungimas

„Ryšio laikas baigėsi“ – pati nekonkrečiausia klaida, kurią gali išspausdinti VPN klientas. Ji reiškia, kad viena operacija praleido savo terminą, ir kiekvienas etapas nuo vardo išsprendimo iki prisijungimo atsakymo turi terminą. Klientai, rodantys tik galutinį pranešimą, etapus padaro vienodus, todėl žmonės didina laiko limitą, keičia portą ir iš naujo įdiegia profilį, tokia tvarka, nieko neišmokdami. Etapus lyginti greičiau: kiekvienas nepavyksta kitoje vietoje, ir kiekviena nesėkmė palieka kitokios rūšies įrodymą.

Keturi etapai, keturios skirtingos nesėkmės

Seka fiksuota, net kai klientas ją slepia: vardas turi būti išspręstas, gautam adresui turi būti nustatytas transportas, protokolas turi suderėti savo parametrus ir raktus, o paskyra turi būti autentifikuota. OpenVPN ryšio trikčių šalinimo vadovas jo paties kliente laikosi tos pačios tvarkos, o kiti jos laikosi glaudžiai. Antrojo etapo skirtasis laikas ir ketvirtojo etapo skirtasis laikas neturi nieko bendra, išskyrus žodį ekrane.

Žurnale skaitykite paskutinę eilutę, rodančią pažangą, o ne paskutinę eilutę prieš klaidą. Dauguma klientų išspausdina ką nors panašaus į išspręstą adresą, nustatytą lizdą, pradėtą rankos paspaudimą ar autentifikavimo užklausą, ir etapas, einantis po tos eilutės, yra tas, kurio laikas baigėsi.

Vardo išsprendimas nepavyksta prieš bet kokį kontaktą

Jei galinis taškas niekada neišsprendžiamas, klientas neturi prie ko jungtis ir joks transporto darbas neįvyko. Ši nesėkmė paprastai būna momentinė, o ne visas skirtasis laikas, ir tai pigiausias būdas ją atskirti nuo kitų. Patikrinkite vardą sistemos sprendikliu ir antru sprendikliu, ir palyginkite abu atsakymus prieš darydami išvadą, kad serveris neveikia.

Senas adresas, nukopijuotas iš forumo įrašo, yra dažna skirtosios laiko nesėkmės, kuri atrodo kaip serverio problema, priežastis, nes adresas dabar priklauso kažkam kitam arba niekam. Naudokite dabartinį operatoriaus profilį, o ne pakeiskite adresu, kuris anksčiau veikė. Trūkstamas ping atsakymas nėra įrodymas nė viena kryptimi: daug galinių taškų meta ICMP, o vis tiek puikiai aptarnauja.

Transporto paruošimas laukia paketo, kuris neateis

Kai DNS tvarkingas, o klientas vis tiek sudegina visą laiko limitą, įtariamasis yra transporto sluoksnis. TCP atveju galite tiesiogiai patikrinti portą; Test-NetConnection Windows arba nc -vz Linux pasakys, ar kas nors priima ryšį, ir tai naudingiau nei ping. UDP atveju taip patikrinti negalima, nes tame sluoksnyje nėra rankos paspaudimo, kurį reikėtų užbaigti, ir ši asimetrija sukelia daug klaidingų išvadų.

Tai, ką įrodo TCP testas, yra ribota: tarnyba, priimanti 443 portą, nebūtinai yra VPN klausytojas, o tik UDP turintis galinis taškas neturi TCP porto, kad ką nors priimtų. Profilio perrašymas iš UDP į TCP nesukuria klausytojo kitoje pusėje; jis tik pakeičia, ko laukia jūsų klientas. Jei tinklas filtruoja protokolą, pakeitimas sukuria kitokį skirtąjį laiką tame pačiame etape.

Captive portalai šiame etape nusipelno atskiros patikros. Kol portalas neautorizuoja įrenginio, išeinantis srautas eina į portalą ir tunelio bandymas tiesiog pakimba. Pirmiausia užbaikite portalą naršyklėje, tada bandykite dar kartą, ir nekeiskite profilio, kol portalas dar laukia.

Derybos ir prisijungimas reiškia, kad serveris atsakė

Kai tunelis pasiekia serverį, klientas pradeda rankos paspaudimą ir klaidos pobūdis pasikeičia. Sustojimas čia susijęs su suderinamumu, o ne su pasiekiamumu: nesuderintos protokolo versijos, šifravimo ar duomenų kanalo nustatymas, kurio kita pusė nepriims, arba profilis, kuris tikisi funkcijos, kurios serveris nesiūlo. OpenVPN perkėlė savo numatytuosius derybų nustatymus tarp pagrindinių versijų pakankamai dažnai, kad vienai kartai parašytas profilis gali pasiekti serverį ir vis tiek nepakilti.

Autentifikavimas yra paskutinis etapas ir lengviausiai neteisingai perskaitomas. Aiškus atmetimas yra atsakymas, o tai reiškia, kad kelias veikia, o problema yra tapatybė, sertifikatas arba paskyros būsena. Naršyklėje pagrįstas vienkartinio prisijungimo srautas yra trečias atvejis: klientas laukia veiksmo, kurio neatlikote, arba naršyklės, kurios negali paleisti, ir nieko neateis, kol neužbaigsite to veiksmo.

Palyginkite įrodymus prieš keisdami pakartojimą

Laikykite įrenginį ir profilį fiksuotus ir keiskite po vieną dalyką, pradėdami nuo tinklo. Jei tas pats profilis prisijungia per telefono hotspotą ir baigiasi viešbučio Wi-Fi, kintamasis yra kelias, o ne serveris. Jei jis nepavyksta visur, kintamasis yra profilis arba galinis taškas. Jei jis nepavyksta tik tam tikru paros metu, užfiksuokite laiko žymą ir palyginkite ją su serverio pusės įvykiais prieš ką nors darydami apie apkrovą.

Jūsų administruojamai tarnybai lemiamas palyginimas yra tai, ar bandymas apskritai ateina. Ryšys, kuris pasiekia klausytoją ir tada sustoja, priklauso derybų etapui; tas, kuris niekada neatsiranda klausytojo regėjime, yra transporto arba sprendimo problema, ir joks pakartojimų derinimas jo nepajudins. Serverio žurnalai taip pat atskiria atmestą prisijungimą nuo tylaus numetimo, o tai yra skirtumas tarp tapatybės taisymo ir ugniasienės taisymo.

Užrašykite kliento versiją, profilio pavadinimą, bandymo laiką su laiko juosta ir pirmą naudingą klaidą, o ne paskutinę atsijungimo eilutę. Prieš bendrindami ištrauką pašalinkite raktus ir kredencialus turinčią medžiagą. Tada atlikite vieną prasmingą pataisymą ir bandykite dar kartą, nes ilgesnis terminas padeda tik dokumentuotai lėtai operacijai ir nieko nepadaro dėl neteisingo adreso ar užblokuoto porto.