Зошто VPN може да изгледа поврзан кога ништо не работи

Вашиот клиент известува поврзано додека интерфејсот е кренат, а прелистувачот истекува, и ниту една од тие три изјави не е невистинита. Поврзано опишува слој што нема никаква врска со страницата што ја побаравте. За да одлучите кој слој известува, потребно е едно ново барање и еден поглед на бројачот што би докажал дека сообраќајот се движел. Рестартирањето ги фрла тие докази и повторно ги гради условите што се обидувавте да ги набљудувате.

Три различни работи наречени поврзано

Најдолу, поврзано може да значи дека клиентскиот процес работи и држи сокет кон партнер. Над тоа, може да значи дека постои интерфејс со адреса, кој постојан уред или рутина за обновување можат да го создадат без жива сесија зад него. На контролно ниво, може да значи дека асоцијацијата е договорена, што не кажува ништо за тоа дали под неа поминал и еден пакет. Секоја од нив преживува дефекти што другите не ги преживуваат, и клиентот обично ја прикажува најсилната што може да ја тврди.

Затоа зелена икона и мртов тунел се компатибилни, а не противречни; тие известуваат за различни објекти. Тоа е целата причина зошто овој дефект постојано погрешно се дијагностицира како грешка во клиентот.

Испратете едно безопасно барање до дестинација што навистина ви треба пред да го допрете демонот, и држете го потребниот блок за директен сообраќај на место додека работите. Рестартирањето го брише редоследот на настаните и потоа ги создава повторно доволно блиску за да ја сокрие причината, поради што истиот тикет се враќа една недела подоцна без ништо ново во него. Едно барање, едно читање на бројач и предизвикувачот што го создал дефектот се минималниот доказ.

Кој бројач докажува дека пакетите се движеле

Во IPsec, IKE асоцијацијата и CHILD асоцијацијата се одделни објекти, и само child ги носи бројачите што одговараат на ова прашање. Излистајте го child, набљудувајте дали пакетите растат во двете насоки и споредете го тоа со она што апликацијата се обидува да го направи. Инсталирана асоцијација на нула е различен наод од онаа што расте додека апликацијата сѐ уште не успева; првата значи дека сообраќајот не се избира, втората дека се движи и дефектот е понатаму. Прочитајте ги бројачите двапати, со неколку секунди разлика, бидејќи еден примерок не може да покаже тенденција.

swanctl --list-sas
ip xfrm state list
ip -s link show dev tun0

Нулти бројачи укажуваат на изборот: рутирање, политика, именски простор од кој излегол пакетот или интерфејс на кој клиентот никогаш не се врзал. Растечки бројачи укажуваат подалеку од тунелот, затоа продолжете со препраќање на далечниот крај, разрешување имиња, повратниот пат и дестинациската услуга, по тој ред. Протокол без одделен child објект ги изложува истите докази со свои термини, затоа користете го она што го известува за состојбата на партнерот и бројот на пакети наместо да го позајмувате речникот на IPsec. Формата на читањето е поважна од алатката што го создала.

Каде се наоѓа дефектот откако бројачите ќе се придвижат

Порта што одговара на сопствената адреса за управување докажува дека портата работи, а не дека нешто зад неа ја опслужува вашата барање, затоа тестирајте ја далечната страна, а не кутијата во средината. Разрешувањето имиња најдобро ги крие дефектите, бидејќи резолвер до кој не се стигнува низ тунелот истекува исто како мртва врска. Две пребарувања ги одвојуваат тие случаи, и двете се евтини. Прво прашајте го резолверот што тунелот го наметнува, потоа прашајте јавен резолвер за истото име.

dig +short host.example
dig +short @10.20.0.1 host.example
ping -c 2 10.20.0.25

Име што се разрешува преку јавниот резолвер, но не преку тунелскиот, значи дека DNS патеката е скршена, додека име што се разрешува преку двата и сѐ уште истекува во прелистувачот укажува на повратниот пат или на услугата. Ако ping по адреса успее, а апликацијата сѐ уште одбива, мрежата го доставила барањето и услугата го одбила, што е сосема подоцнежна фаза.

Запишете го предизвикувачот, потоа сменете една работа

Запишете што претходело на дефектот: период на неактивност, промена на мрежата, обновување на клуч, продолжен преносен сметач или обновен систем. Тие создаваат различни механизми, и обично само обновениот систем се поправа сам, што е токму случајот што не учи ништо. Рестартирањето го отстранува редоследот на настаните и потоа создава доволно блиски услови за да ја сокрие причината. Запишете го предизвикувачот додека сѐ уште може да се репродуцира.

Потоа направете една поткрепена исправка и повторете го првичното барање заедно со предизвикувачот што го создал дефектот. Неактивноста е најлесниот предизвикувач за репродукција, затоа е најбрзата потврда дека исправката се занимавала со механизмот, а не со симптомот.

Она што сакате да го известите е доказ дека сообраќајот што имавте намера да го испратите стигнал до услугата до која имавте намера да стигнете. Икона што станува зелена, кеширана страница што се вчитува и бројач што се движи сите докажуваат помалку од едно завршено барање кон предвидената дестинација. Држете ги барањето, читањето на бројачот и предизвикувачот заедно, за да може следниот човек да разликува исправка од случајност.