VPN е поврзан, но една услуга не работи: изолирајте ја фазата

„Поврзано“ е најмалку информативниот факт во еден VPN тикет. Запишува дека двајца партнери завршиле ракување и ништо за името што било прашано, интерфејсот низ кој излегол пакетот, неговата големина или дали далечната страна го прифатила. Затоа една услуга може да не успее додека секоја друга апликација на истиот лаптоп работи. Поминете ги фазите по ред и првата што ќе не успее ќе го именува дефектот.

Започнете со името, не со тунелот

Решете пред да рутирате, зашто лош одговор го прави секој подоцнежен тест бесмислен. Прашајте го името преку системскиот резолвер и споредете го тој одговор со адресата што апликацијата навистина ја користела. Приватно име што се враќа како јавна адреса значи дека барањето отишло кај резолвер што нема работа да одговори. Име што не се решава е истата категорија, само погласно.

resolvectl query host.internal
getent hosts host.internal

Прелистувачите со сопствено поставување за безбеден DNS не успеваат тука, додека остатокот од системот работи. Затоа жалбата што се однесува само на прелистувачот прво припаѓа на оваа фаза, пред некој да допре маршрута. Споредете ги двете команди, а не една, зашто getent го следи патот на NSS, а барањето до резолверот не.

Прашајте го јадрото кој пат го избрало

Табелата за рутирање е редослед на предност, а патот што го избира јадрото не е секогаш оној од дијаграмот. Прашајте го директно за соодветната дестинација. Одговорот ги именува интерфејсот, следниот скок и изворната адреса што ќе се користи. Пакетот може да излезе низ тунелот со изворна адреса што далечната страна ја отфрла, а поспецифичен запис во физичката табела може да го испрати низ Wi-Fi интерфејсот.

ip route get 10.20.30.40
ip -brief address show

Читајте ги полињата dev, via и src по тој редослед, зашто секое отстранува различно сомневање. Оваа фаза го поседува и состојбата што ја инсталирал клиентот, зашто правилата на огнениот ѕид и маршрутите можат да останат по ненормален излез. Затоа „без интернет без тунелот“ и „без интернет ако клиентот не работи“ се едно семејство дефекти, а не две.

Тестирајте ја големината на пакетот

Мал одговор што се враќа додека голем пренос застанува прво укажува на MTU на патот. Една сонда со поставен do-not-fragment бит, испратена од внатрешноста на тунелот, ја одделува оваа фаза од останатите. Зголемувајте го полезниот товар додека сондата не успее да помине и го имате бројот што е важен.

ping -M do -s 1400 10.20.30.40

Мали сонди поминуваат додека список на папка или прикачување виси — тоа е потписот на оваа фаза. Жалбата звучи како податоци за најава или правило на огнен ѕид, а не е ниту едното.

Бројот е својство на патот, а не на клиентот, затоа вредност што работи на канцелариска врска може да не успее на мобилна врска. Чувајте ја командата за сонда со тикетот, зашто следниот човек има потреба од истото мерење. Ако помине помал товар, решението е clamp или понизок MTU на тунелот, а не нова шифра.

Тестирајте ја далечната страна

Тестирајте ја дестинацијата по нејзината адреса, потоа погледнете што слуша таму. Одбиена врска и врска што никогаш не одговара се различни наоди. Првата вели дека нешто работи и не го опслужува тој порт, а втората дека ништо не се вратило. Ниту една од двете не е проблем на клиентот по правило.

curl -sv http://10.20.30.41:8080/health
nc -vz -w 3 10.20.30.41 3389
ss -lnt 'sport = :8080'

Ништо достапно низ тунел не може да биде услуга што слуша само на 127.0.0.1, зашто слушателот никогаш не го гледа пакетот. Кога огнениот ѕид на далечниот домаќин ја дозволува канцелариската подмрежа и го отфрла базенот на тунелот, резултатот изгледа како дефект на клиентот и не е. Remote Desktop или споделување датотеки што се крши додека веб-сообраќајот преживува обично завршува тука, како и да го формулира корисникот.

Поврзете ја жалбата со една фаза

Повеќето извештаи се сведуваат на една од пет форми, и секоја форма именува фаза. Еден сајт што работи само низ тунелот е одговор на име или политика врзана за изворната адреса. Ажурирањата не успеваат без тунелот додека прелистувањето работи — тоа е проблем со име или маршрута за тој клиент.

Тоа што сѐ запира кога ќе стартува клиент на давателот е инсталирана состојба, односно прашање на маршрута и огнен ѕид. Една услуга недостапна додека останатото е во ред е далечната страна. Преносите застануваат по неколку секунди — тоа е големината на пакетот. Усогласете ја формата пред да пуштите команди, зашто таа одлучува кои докази прво да се соберат.

Запишете ја фазата што го дала првиот неуспех заедно со излезот од командата. Тикет што вели дека изворната адреса била погрешна, со приложена линија на маршрута, заслужува постапка, додека оној што пријавува дека VPN-от е скршен не.