Kodėl VPN gali atrodyti prisijungęs, kai niekas neveikia

Jūsų klientas praneša prisijungęs, nors sąsaja yra pakilusi, o naršyklė baigia laukti, ir nė vienas iš šių trijų teiginių nėra melas. Prisijungta apibūdina sluoksnį, neturintį nieko bendra su puslapiu, kurio paprašėte. Norint nustatyti, kuris sluoksnis praneša, reikia vienos naujos užklausos ir vieno žvilgsnio į skaitiklį, kuris įrodytų, kad srautas pajudėjo. Pakartotinis paleidimas išmeta tuos įrodymus ir iš naujo sukuria sąlygas, kurias bandėte stebėti.

Trys skirtingi dalykai, vadinami prisijungusiu

Pačiame apačioje prisijungta gali reikšti, kad kliento procesas veikia ir laiko lizdą link partnerio. Aukščiau tai gali reikšti, kad egzistuoja sąsaja su adresu, kurią nuolatinis įrenginys ar atkūrimo procedūra gali sukurti be gyvos sesijos už jos. Valdymo lygmenyje tai gali reikšti, kad asociacija buvo suderėta, o tai nieko nesako apie tai, ar po ja praėjo nors vienas paketas. Kiekviena jų išgyvena gedimus, kurių kitos neišgyvena, o klientas paprastai rodo stipriausią, kurį gali teigti.

Todėl žalia piktograma ir negyvas tunelis yra suderinami, o ne prieštaringi; jie praneša apie skirtingus objektus. Tai ir yra visa priežastis, kodėl šis gedimas nuolat klaidingai diagnozuojamas kaip kliento klaida.

Prieš liesdami daemoną nusiųskite vieną nekenksmingą užklausą į tikrai reikalingą paskirties vietą ir dirbdami palikite reikiamą tiesioginio srauto bloką savo vietoje. Pakartotinis paleidimas ištrina įvykių tvarką ir paskui atkuria juos pakankamai arti, kad paslėptų priežastį, todėl tas pats bilietas grįžta po savaitės be nieko naujo. Viena užklausa, vienas skaitiklio rodmuo ir gedimą sukėlęs trigeris yra minimalūs įrodymai.

Kuris skaitiklis įrodo, kad paketai pajudėjo

IPsec IKE asociacija ir CHILD asociacija yra atskiri objektai, ir tik child turi skaitiklius, atsakančius į šį klausimą. Išvardykite child, stebėkite, ar paketai auga abiem kryptimis, ir palyginkite tai su tuo, ką programa bando daryti. Nulinė įdiegta asociacija yra kitokia išvada nei auganti, kol programa vis dar nepavyksta; pirmoji reiškia, kad srautas nepasirenkamas, antroji – kad jis juda, o gedimas yra toliau. Skaitiklius perskaitykite du kartus, kelių sekundžių intervalu, nes viena imtis negali parodyti tendencijos.

swanctl --list-sas
ip xfrm state list
ip -s link show dev tun0

Nuliniai skaitikliai rodo į pasirinkimą: maršrutizavimą, politiką, vardų erdvę, iš kurios išėjo paketas, arba sąsają, prie kurios klientas niekada neprisirišo. Augantys skaitikliai rodo toli nuo tunelio, todėl tęskite persiuntimu tolimame gale, vardų sprendimu, grįžimo keliu ir paskirties paslauga, tokia tvarka. Protokolas be atskiro child objekto atskleidžia tuos pačius įrodymus savo terminais, todėl naudokite tai, ką jis praneša apie partnerio būseną ir paketų skaičių, o ne skolinkitės IPsec žodyną. Rodmens forma svarbesnė už įrankį, kuris jį sukūrė.

Kur yra gedimas po to, kai skaitikliai pajuda

Tinklų sietuvas, atsakantis savo valdymo adresu, įrodo, kad sietuvas veikia, o ne kad kažkas už jo aptarnauja jūsų užklausą, todėl tikrinkite tolimą pusę, o ne dėžę per vidurį. Vardų sprendimas geriausiai slepia gedimus, nes resolveris, nepasiekiamas per tunelį, baigia laukti lygiai taip pat kaip negyvas ryšys. Dvi paieškos atskiria tuos atvejus, ir abi pigios. Pirmiausia paklauskite resolverio, kurį tunelis stumia, tada paklauskite viešo resolverio to paties vardo.

dig +short host.example
dig +short @10.20.0.1 host.example
ping -c 2 10.20.0.25

Vardas, kuris išsprendžiamas per viešą resolverį, bet ne per tunelio resolverį, reiškia, kad DNS kelias sulaužytas, o vardas, kuris išsprendžiamas per abu ir vis tiek baigia laukti naršyklėje, rodo grįžimo kelią arba paslaugą. Jei ping pagal adresą pavyksta, o programa vis tiek atsisako, tinklas užklausą pristatė, o paslauga ją atmetė, ir tai yra visiškai vėlesnis etapas.

Užrašykite trigerį, tada pakeiskite vieną dalyką

Užrašykite, kas buvo prieš gedimą: neveiklumo laikotarpis, tinklo pakeitimas, rakto atnaujinimas, atnaujintas nešiojamasis kompiuteris ar atkurta sistema. Jie sukuria skirtingus mechanizmus, ir paprastai tik atkurta sistema pati save sutaiso, o tai yra būtent tas atvejis, kuris nieko neišmoko. Pakartotinis paleidimas pašalina įvykių tvarką ir paskui atkuria pakankamai artimas sąlygas, kad paslėptų priežastį. Užrašykite trigerį, kol jis dar atkuriamas.

Tada atlikite vieną pagrįstą pataisymą ir pakartokite pirminę užklausą kartu su gedimą sukėlusiu trigeriu. Neveiklumas yra lengviausiai atkuriamas trigeris, todėl tai greičiausias patvirtinimas, kad pataisymas ėmėsi mechanizmo, o ne simptomo.

Tai, ką norite pranešti, yra įrodymas, kad srautas, kurį ketinote siųsti, pasiekė paslaugą, kurią ketinote pasiekti. Piktograma, kuri pažaliuoja, podėlyje esantis puslapis, kuris įsikelia, ir skaitiklis, kuris pajuda, visi įrodo mažiau nei viena užbaigta užklausa numatytai paskirties vietai. Laikykite užklausą, skaitiklio rodmenį ir trigerį kartu, kad kitas žmogus galėtų atskirti pataisymą nuo atsitiktinumo.