VPN saka savienots, bet nekas netiek maršrutēts: divas vietas, kur skatīties

Tunelis var ziņot, ka ir savienots, kamēr nekas to nesasniedz, un šie divi fakti mīt dažādās vietās. Viens ir maršrutu tabula, kas joprojām var sūtīt paketes ierīcei, kurai neviens nepieder. Otrs ir rezolvers, kas joprojām var uzskaitīt serveri saitē, kas ir pazudusi. Tīkla izmaiņa nesabojāja profilu, tā atstāja iepriekšējai savienojumam piederošo stāvokli bāreņu, un labojums ir atkarīgs no tā, kuru no abiem tu tiešām skaties.

Vispirms pajautā kodolam, kuru ierīci tas izmantotu

Maršrutu saraksts parāda, kas pastāv; maršruta vaicājums parāda, kas notiktu. Pajautā par publisku adresi un nolasi ierīces nosaukumu atbildē, jo šis viens lauks izlemj, vai pakete nonāks kaut kur lietderīgā. Kad atbilde nosauc tuneļa ierīci, kodols nodos tai paketes arī tad, ja aiz šīs saskarnes vairs nedarbojas neviena klienta procese. Kad atbilde nosauc fizisko adapteri, kamēr klients apgalvo, ka ir savienots, tunelis ir pacelts un vienkārši nav izvēlētais ceļš.

Otrais gadījums ir ierastais pēc tam, kad kabelis aizstāj bezvadu, un tas izpaužas kā salauzts VPN.

ip route show default
ip route get 203.0.113.9

Tālāk lasi noklusējuma ierakstus, jo iepriekšējās bāzes savienojuma pievienotais maršruts var pārdzīvot saites maiņu un stāvēt priekšā jaunajam. Noklusējuma maršruts caur ierīci, kas ir izslēgta, ir sliktāks par noklusējuma maršruta neesamību, jo kodols to joprojām dod priekšroku. Pievērs uzmanību metrikai blakus katram ierakstam, jo šī secība izskaidro priekšroku ātrāk nekā saskarņu nosaukumi.

Pēc tam lasi rezolveri pa saitiem, nevis pa failiem

Nosaukumu izšķiršana nes savu stāvokli un savu novecošanu. Rezolvers, kas uzskaita DNS serverus pa saitiem, patur izslēgtas, bet joprojām reģistrētas tuneļa saites serverus, un katrs vaicājums tad gaida serveri, kas neatbildēs. Simptoms ir tīkls, kas šķiet miris, kamēr maršrutu tabula izskatās nevainojama.

Pārbaudi stāvokli pa saitiem, nevis failu, jo daudzās distribūcijās šis fails ir simboliska saite uz rezolveri, un tā rediģēšana vai nu neko nedara, vai tiek ātri pārrakstīta. Apskati, kura saite pārvalda kuras serverus un kuru meklēšanas domēnu, un tad pajautā, vai tuneļa saitei vispār vēl vajadzētu būt reģistrētai. Ja nevajadzētu, deaktivizē savienojumu, kam tā pieder, tā vietā, lai ar roku rediģētu ģenerētu stāvokli. Nosaukums, kas izšķiras, kamēr maršruta vaicājums sūta paketes citur, ir trešā un atsevišķa kļūda.

resolvectl status
resolvectl query app.internal.example

Ja adreses izšķiras un savienojumi neizdodas, rezolvers ir kārtībā un maršruts nav. Ja adreses nemaz neizšķiras, šī ir īstā vieta, kur sākt.

Kā novecojis maršruts pārdzīvo izmaiņu

Klients nepārvalda tīklu viens. NetworkManager resursdatorā VPN profils tiek aktivizēts virs bāzes savienojuma, un savienojuma iestatījumi ļauj šai bāzei nosaukt VPN, kam tai jāseko. Kad bāze mainās, jo priekšroku iegūst cits profils, tunelis pārceļas uz jauno bāzi vai paliek bez nevienas.

VPN profils sevi nepaceļ, tāpēc savienošana pāros nozīmē daudz vairāk nekā paša profila automātiskās pieslēgšanās izvēle.

Izlasi aktīvo sarakstu un atzīmē, kura bāze ir pacelta, pirms aiztiec tuneli. Ja bāze ir sarakstā un tunelis nav, maršruts trūkst, nevis ir novecojis, un labojums ir aktivizēšana. Ja tuneļa aktivizēšana sūdzas, ka nav avota savienojuma, bāze, ar kuru tas bija savienots pārī, ir pazudusi, tāpēc vispirms pacel to vai salabo savienojumu pārī, nevis mēģini tuneli vēlreiz. Profila atkārtota mēģināšana, kura vecāks trūkst, katru reizi dod to pašu kļūdu, kas ir noderīgs signāls, nevis apgrūtinājums.

nmcli device status
nmcli connection show --active
nmcli connection up office-vpn

Atšķir novecojušu stāvokli no trūkstoša vecāka

Trīs stāvokļi izskaidro gandrīz katru ziņojumu, un katram vajadzīgs cits labojums. Noklusējuma maršruts caur ierīci, kas vēl pastāv, bet vairs nenes tuneli, ir novecojis stāvoklis, ko notīra, izdzēšot ierakstu vai pārstartējot atbildīgo profilu. Tuneļa ierīce, kuras klienta procese ir pazudusi, ir tīrīšanas kļūda, tāpēc uzmanība pienākas atvienošanas ceļam, nevis maršrutu tabulai. Pavisam nav tuneļa ierīces – nozīmē, ka trūkst vecāka vai savienojuma pārī un maršrutu tabula nekad nav bijusi iesaistīta.

Pārstartēšana noslēpj, kurš no trim tev bija, un tieši tāpēc tā šķiet kā labojums.

Pēc labojuma pajautā kodolam vienu publisku un vienu iekšēju adresi, tad vaicā iekšēju nosaukumu. Kad adrese strādā un nosaukums ne, tu esi atradis domēna tvēruma problēmu rezolverā, nevis maršrutēšanas problēmu. Pieraksti, kādu stāvokli atradi, jo nākamā tīkla izmaiņa atveidos to, kuru atstāji mierā.