Kodėl veikiantis VPN vis tiek pasiekia skirtąjį laiką atsakyme
Tai, kad užklausa pasiekia privatų serverį, tėra pusė mainų. Jos atsakymas turi rasti tunelio klientą numatytuoju šliuzu, maršrutu ar vertimu.
Užklausa atvyksta, serveris ją įrašo, o klientas vis tiek praneša apie skirtąjį laiką. Toks derinys reiškia, kad atsakymas nesurado kelio atgal, ir tai viena iš nedaugelio gedimų, kuriuos galite patvirtinti iš abiejų galų vienu metu. Atlikite patikras iš eilės ir sustokite, kai kuri nors nepavyksta.
Pradėkite nuo to, kur atvyko užklausa
Prieš tikrindami ką nors kita, patvirtinkite, kad paketas pasiekė paslaugą. Serverio pusėje esantis žurnalo įrašas, jungčių skaitiklis ar leidžiamas užfiksavimas tolimajame gale visi atsako į tą patį klausimą, o jų nebuvimas nukreipia jus atgal prie tunelio, o ne pirmyn prie atsakymo. Tai patikra, skirianti persiuntimo problemą nuo grįžimo kelio problemos.
Jei užklausa niekada neatvyko, sustokite čia. Tunelis, maršrutizavimas į privatų priešdėlį arba prieigos taisyklė yra tema, o atsakymo kelias dar nėra svarbus. Užsirašykite ir šaltinio adresą, kurį matė serveris. Tai arba klientui suteiktas telkinio adresas, arba išverstas adresas, ir šis skirtumas lemia, kuri iš vėlesnių patikrų taikoma.
Atsakymui reikia maršruto į telkinį
Nuotolinės prieigos klientas paprastai gauna adresą iš telkinio, o privačiam tinklui reikia maršruto atgal į tą telkinį. Serveris, kurio numatytasis maršrutas rodo į jo paties šliuzą, perduoda paketą tam šliuzui, kuris neturi supratimo, kur yra telkinys, todėl atsakymas ten žūva. Klientas mato skirtąjį laiką, nes niekas negrįžo, ir to negalima atskirti nuo užklausos, kuri niekada neišėjo.
Tikrinkite maršrutą, kurį serveris pasirenka kliento adresui, o ne tą, kurį naudoja savo potinkliui. Šios dvi paieškos gali duoti skirtingus atsakymus, ir čia svarbus antrasis. Vertimas yra alternatyvus sprendimas ir jis keičia tai, ką mato serveris. Jis gali supaprastinti grįžimo kelią, o taip pat pašalina pirminį kliento adresą iš serverio žurnalų, kas paveikia bet kurią taisyklę ar ataskaitą, pastatytą ant to lauko.
Palyginkite serverio užfiksavimą su šliuzo užfiksavimu
Palyginkite, kas palieka serverį, su tuo, kas atvyksta į šliuzą. Užfiksavimas serverio išėjimo sąsajoje ir užfiksavimas tunelio šliuze atsako į skirtingas klausimo puses, o tarpas tarp jų nurodo nuostolių vietą.
ip route get 10.90.0.14
tcpdump -ni any host 10.90.0.14 and port 443
ip route show table all | grep 10.90.0.0| Where the reply stops | What it proves |
|---|---|
| Request in the server log, nothing on its outbound capture | The server picked a gateway that cannot reach the pool |
| Reply leaves the server but never shows up at the gateway | Loss on the LAN path, not on the tunnel |
| Reply reaches the gateway but not the client | Return translation or tunnel policy, not the server route |
Šliuzo paties sugeneruota užklausa yra prastas kliento testo pakaitalas, nes ji kyla iš kito adreso ir susiduria su kitomis taisyklėmis. Todėl sėkmingas ping iš šliuzo ir nepavykusi užklausa iš kliento gali būti teisingi abu vienu metu.
Kai kelyje yra keli maršrutizatoriai, patikrinkite kiekvieną, kuriam reikia maršruto į telkinį. Svetainės-svetainės sprendimas dažnai reikalauja, kad nuotolinis priešdėlis būtų žinomas daugiau nei viename įrenginyje, o pats šliuzas turi persiųsti tarp tunelio ir vietinio tinklo; strongSwan persiuntimo pastabos apima to sysctl ir ugniasienės pusę.
Užrašykite telkinį, priešdėlį ir atsakingąjį
Į pastabą patenka keturi faktai: telkinys, kurį gavo klientas, privatus priešdėlis, kurio jam reikėjo, maršrutizatorius, atsakingas už atsakymą, ir vertimo taisyklė, jei tokia yra. Su jais vėlesnis šliuzo pakeitimas yra palyginimas, o ne tyrimas.
Tada išbandykite dar kartą su įprastu klientu ir tikra programos paskyra. Programos teisių išplėtimas negali sutaisyti paketo grįžimo kelio, o paskyros pakeitimas šios diagnostikos metu supainios kitą palyginimą. Jei sprendimas remiasi vertimu, dokumentuokite jį ten, kur skaitomi serverio žurnalai. Kas audito pėdsake pamato nepažįstamą šaltinio adresą, neturėtų iš naujo atrasti susiejimo iš bilieto.