VPN се поврзува, но LAN уредите се недостапни: што да проверите

Сообраќајот влегува во тунелот, портата одговара на сопствената адреса, а ништо зад неа не одговара. Овој образец е чест и не е противречност: одговорот од портата докажува дека тунелот завршил, и не докажува ништо за тоа што се случува со пакет упатен зад неа. Двата теста користат различни кодни патеки на истиот компјутер.

Отсега проверувајте нешто од другата страна на портата. Сопствената адреса на портата ќе продолжи да одговара, колку и да е расипано препраќањето.

Портата одговара од сопствениот стек

Пакетот упатен до портата се доставува до нејзината локална влезна патека, каде јадрото одлучува дали слушачки сокет ќе го прифати. Пакетот упатен до домаќин зад портата наместо тоа се доставува до патеката за препраќање, каде важи друг збир проверки. Препраќањето може целосно да се исклучи, или јадрото да го вклучи, а потоа да го отфрли филтерско правило што никогаш не го спомнува тунелот. Ништо од тоа не влијае на сопствениот одговор на портата, затоа симптомот толку сигурно заведува.

Административните страници достапни преку тунелот исто така припаѓаат на првата категорија. Тие се доказ за тунелот, не за мрежата зад него.

Следете го текот до првата граница што ќе го отфрли

Започнете од клиентот и потврдете ја рутата и изворната адреса што текот ќе ги користи. Потоа набљудувајте ја портата за доаѓањето на точно тој тек, и повторно за истиот тек како заминува кон LAN. Ако никогаш не дојде, проблемот е на клиентската страна или во дозволените префикси на тунелот. Ако дојде и никогаш не замине, проблемот е во препраќањето или во филтер на напредната патека, а снимката веќе кажала кој е.

Извршувањето на истиот тест од портата ја крие интересната половина, бидејќи пакетот што потекнува од портата има друг извор и друго барање за враќање. Користете го текот на клиентот, со неговата сопствена изворна адреса, на секој чекор. Снимка направена на погрешниот интерфејс дава самоуверена бесмислица.

Повратните рути и огнените ѕидови на домаќинот откажуваат одделно

Откако пакетот ќе стигне до домаќинот, мора да важат уште три работи. Услугата мора да слуша на адресата на која е испратен пакетот, огнениот ѕид на домаќинот мора да го прифати, и одговорот мора да има рута назад кон базенот на клиенти. Последното често откажува, бидејќи стандардната рута на домаќинот покажува кон рутер што никогаш не слушнал за опсегот на тунелот. Резултатот е врска што се воспоставува од гледна точка на домаќинот и тивко умира во другата насока.

Намерно проверете ја повратната патека со испраќање од клиентот и набљудување на враќањето. Еднонасочна снимка решава за секунди тоа што еден час шпекулации не ќе го реши.

Потврдете го секој скок со изворната адреса на клиентот

Извршете ги проверките по ред и зачувајте го секој излез, бидејќи вредноста е во споредбата, не во еден ред. Наредбите подолу ја фиксираат изворната адреса, ја покажуваат избраната рута и ги снимаат двете страни на препраќањето. Заменете го вашиот LAN домаќин и интерфејсот на тунелот.

ip route get 192.168.50.20 from 10.8.0.2
ping -I 10.8.0.2 -c 3 192.168.50.20
sudo tcpdump -ni tun0 host 192.168.50.20
sudo tcpdump -ni br0 host 192.168.50.20

Барањето за рута покажува дали клиентот воопшто би го испратил тој пакет во тунелот, а ping покажува дали нешто се вратило од домаќинот. Споредбата на двете снимки го одделува пристигнувањето од излегувањето, бидејќи рамка на интерфејсот на тунелот без пандан на LAN интерфејсот е одлука за препраќање, не дефект на услугата. Кога двете снимки го покажуваат барањето, а само едната одговорот, повратната рута е останатиот сомнителен.

Запишете која адреса одговорила и која препратена дестинација не успеала. Таа реченица го прави извештајот применлив наместо тврдење дека серверот е недостапен.