VPN вели дека е поврзан, но стандардната рута е мртва

Клиентот известува дека е поврзан, иконата во системската лента изгледа нормално, а ништо не се вчитува. Започна веднаш откако преминавте од Wi-Fi на кабел или веднаш откако заврши надградбата на дистрибуцијата. Не се расипа профилот, туку состојбата изградена за претходната основна врска. Јадрото сѐ уште има стандардна рута што покажува на тунелски уред што никој не го поседува, или резолверот сѐ уште наведува сервери на врска што исчезна. Двете дефекти изгледаат како мртва мрежа и двете можат да се поправат на самото место.

Застарените делови веќе беа погрешни пред да ги забележите. Вадењето на кабелот само ги направи видливи.

Прашајте го јадрото каде ќе оди пакетот

Списоците со рути тешко се читаат зашто наведуваат сѐ што системот го знае, вклучително записи што веќе не важат. Пребарувањето рута одговара на единственото прашање што вреди да се постави: кој уред го носи токму овој пакет во моментов. Ако одговорот наведе тунелски уред, јадрото ќе го користи дури и кога зад него нема жив клиентски процес, а пакетот паѓа во интерфејс што никој не го одржува. Ако одговорот го наведе Ethernet адаптерот додека клиентот тврди дека врската е активна, тунелот постои но ја загубил селекцијата, што е вообичаен исход при премин од безжична на жичена мрежа.

Извршете го пребарувањето двапати, еднаш за јавна адреса и еднаш за внатрешна, зашто политиката на поделен тунел може едната да ја насочи чесно, а другата да ја испушти.

ip route show default
ip route get 1.1.1.1
ip route get 10.20.30.40

Резолверот ја чува и мртвата врска

На домаќин со systemd-resolved, DNS серверите припаѓаат на врски, а не на еден глобален список. Падната VPN врска може извесно време да остане регистрирана со своите сервери, и тогаш секое пребарување чека адреса што никогаш нема да одговори. Тоа одложување се чувствува како мртва мрежа и ги испраќа луѓето да гледаат рути кога рутата е во ред.

resolvectl status
resolvectl query intranet.example.com

Прочитајте ги блоковите по врска и утврдете која врска го поседува доменот за кој станува збор. Тунел што е подигнат но не е сопственик на внатрешниот домен ги препраќа внатрешните имиња до јавниот резолвер, а симптомот не се разликува од дефект во рутирањето.

Поправете ја регистрацијата, а не /etc/resolv.conf. Во тековните инсталации на Ubuntu и Fedora таа патека е симболична врска до извршната состојба на резолверот, па измената или се игнорира или се препишува при следниот мрежен настан.

VPN никогаш не започнува сам

NetworkManager го крева VPN-от врз основна врска и учи по која да оди од connection.secondaries на таа основа. референцата за поставки на врската изрично наведува дека автоматското поврзување не е имплементирано за VPN профили. Тоа е целиот механизам зад овој вид дефекти: сменете ја основата и VPN-от мора повторно да се спари или рачно да се активира.

nmcli device status
nmcli connection show --active
nmcli connection up office-vpn

Кога активниот список ја покажува основата без VPN-от, тунелот воопшто не е активен и рутата никогаш не била инсталирана, а не останала застарена. Кога активирањето се жали дека нема изворна врска, основата со која бил спарен исчезнала е, затоа прво поправете ја основата или спарувањето и престанете повторно да го пробувате VPN-от.

Надградба може да исфрли поставки без порака

Надградбата на дистрибуција го заменува клиентот и често неговиот приклучок за NetworkManager, додека зачуваниот профил ги задржува имињата на својствата со кои бил запишан. Сѐ што новиот приклучок веќе не препознава се прескокнува молчејќи. Профилот сѐ уште се активира и уредот сѐ уште се појавува, но рутата што порано доаѓаше со него повеќе не доаѓа.

Рачно напишаните куки исто така се поместуваат. Скриптата што поставуваше рута во предвидлив момент од стариот редослед сега може да се изврши пред интерфејсот да постои или откако клиентот веќе истече.

Споредете го живиот профил со приклучокот што навистина го имате, а не со однесувањето што го паметите. Ако клучот исчезнал од документацијата, преместете ја работата во скрипта за диспечер или во поддржана замена, наместо да го враќате старото својство.

Три состојби, три различни поправки

Одлучете во која состојба сте пред да допрете нешто, зашто рестартирањето ги уништува доказите и дефектот се враќа при следната мрежна промена.

Завршете со едно пребарување за јавна адреса, едно за внатрешна адреса и едно прашање за име. Ако адресите работат а името не, преостанатиот дефект е опсегот на доменот во резолверот, и табелата со рути никогаш не била проблем.