Истек на врската VPN: DNS, транспорт, преговарање или најава

„Врската истече“ е најнепрецизната грешка што VPN клиент може да ја испечати. Таа значи дека една операција го пропуштила рокот, а секоја фаза од решавањето на името до одговорот за најава има рок. Клиентите што ја прикажуваат само последната порака ги прават фазите исти, па луѓето го зголемуваат рокот, го менуваат портот и повторно го инсталираат профилот, по тој редослед, без да научат ништо. Споредувањето на фазите е побрзо: секоја неуспехнува на различно место, и секој неуспех остава различен вид доказ.

Четири фази, четири различни неуспеси

Редоследот е фиксен дури и кога клиентот го крие: името мора да се реши, кон добиената адреса мора да се воспостави транспорт, протоколот мора да ги преговара своите параметри и клучеви, а сметката мора да биде автентифицирана. Водичот на OpenVPN за решавање проблеми со поврзување го следи истиот редослед за својот клиент, а другите го следат блиску. Истекот во втората фаза и истекот во четвртата немаат ништо заедничко освен зборот на екранот.

Во дневникот прочитајте го последниот ред што покажува напредок, а не последниот ред пред грешката. Повеќето клиенти печатат нешто како решена адреса, воспоставен сокет, започнат ракување или барање за автентикација, и фазата што следи по тој ред е онаа што истече.

Решавањето на името неуспехнува пред каков било контакт

Ако крајната точка никогаш не се реши, клиентот нема со што да се поврзе и не е извршена никаква транспортна работа. Тој неуспех обично е моментален, а не целосен истек, што е најевтиниот начин да се разликува од останатите. Тестирајте го името со системскиот решавач и со втор решавач, и споредете ги двата одговора пред да заклучите дека серверот е паднат.

Стара адреса копирана од форумска објава е честа причина за истек што изгледа како проблем со серверот, бидејќи адресата сега припаѓа на нешто друго или на ништо. Користете го тековниот профил на операторот наместо да заменувате адреса што порано работела. Отсутниот ping одговор не е доказ во ниту една насока: многу крајни точки отфрлаат ICMP, а притоа служат сосема добро.

Поставувањето на транспортот чека пакет што нема да дојде

Кога DNS е во ред, а клиентот сепак ја согорува целата граница, сомнителниот е транспортниот слој. На TCP можете директно да го тестирате портот; Test-NetConnection на Windows или nc -vz на Linux ви кажува дали нешто ја прифаќа врската, и тоа е покорисно од ping. На UDP не можете да тестирате на ист начин, бидејќи во тој слој нема ракување што треба да се заврши, и оваа асиметрија предизвикува многу погрешни заклучоци.

Она што го докажува TCP тестот е ограничено: услуга што го прифаќа портот 443 не е нужно VPN слушателот, а крајната точка само со UDP нема TCP порт за да прими нешто. Препишувањето на профил од UDP на TCP не создава слушател од другата страна; само го менува она што го чека вашиот клиент. Ако мрежата го филтрира протоколот, промената произведува различен истек во истата фаза.

Заробените портали заслужуваат сопствена проверка во оваа фаза. Додека порталот не го овласти уредот, излезниот сообраќај оди кон порталот и обидот за тунел едноставно виси. Прво завршете го порталот во прелистувач, потоа обидете се повторно, и не го менувајте профилот додека порталот сѐ уште е во исчекување.

Преговарањето и најавата значат дека серверот одговорил

Штом тунелот стигне до серверот, клиентот започнува ракување и карактерот на грешката се менува. Застојот тука е за компатибилност, а не за достапност: неусогласени верзии на протоколот, поставка за шифрирање или податочен канал што другата страна нема да ја прифати, или профил што очекува функција што серверот не ја нуди. OpenVPN ги помести своите стандардни поставки за преговарање меѓу главните верзии доволно често што профил напишан за една генерација може да стигне до серверот и сепак да не се подигне.

Автентикацијата е последната фаза и најлесно се чита погрешно. Експлицитното отфрлање е одговор, што значи дека патеката работи, а проблемот е идентитетот, сертификатот или состојбата на сметката. Текот на еднократна најава преку прелистувач е трет случај: клиентот чека дејство што не сте го направиле, или прелистувач што не може да го стартува, и ништо нема да дојде додека не го завршите тој чекор.

Споредете ги доказите пред да го промените повторувањето

Држете го уредот и профилот фиксни и менувајте по едно нешто, почнувајќи од мрежата. Ако истиот профил се поврзува преку мобилен хотспот и истекува на хотелски Wi-Fi, променливата е патеката, а не серверот. Ако неуспехнува насекаде, променливата е профилот или крајната точка. Ако неуспехнува само во одредено време од денот, забележете ја временската ознака и споредете ја со настани на страната на серверот пред да претпоставите нешто за оптоварувањето.

За услуга што ја администрирате, одлучувачката споредба е дали обидот воопшто пристигнува. Врска што стигнува до слушателот и потоа застанува припаѓа на фазата на преговарање; онаа што никогаш не се појавува во видното поле на слушателот е транспортен или решавачки проблем, и никакво прилагодување на повторувањата нема да го отвори. Серверските дневници исто така одвојуваат одбиена најава од тивко отфрлање, што е разликата помеѓу поправка на идентитет и поправка на огнен ѕид.

Забележете ја верзијата на клиентот, името на профилот, времето на обидот со неговата временска зона и првата корисна грешка наместо последниот ред за исклучување. Отстранете ги клучевите и материјалот што носи акредитиви пред да го споделите извадокот. Потоа направете една смислена поправка и обидете се повторно, бидејќи подолг рок помага само на документираната бавна операција и не прави ништо за погрешна адреса или блокиран порт.