Зошто работен VPN сепак истекува на одговорот
Тоа што барањето стигнува до приватен сервер е само половина од размената. Неговиот одговор мора да го најде клиентот на тунелот низ предвидената порта, рута или превод.
Барањето пристигнува, серверот го запишува во дневникот, а клиентот сепак пријавува истекување на времето. Таа комбинација значи дека одговорот не го најде патот назад, и тоа е еден од малкуте дефекти што можете да ги потврдите од двата краја истовремено. Изведете ги проверките по ред и застанете кога некоја од нив ќе пропадне.
Започнете од местото каде што пристигна барањето
Потврдете дека пакетот стигнал до услугата пред да проверите нешто друго. Запис во дневникот на серверот, бројач на врски или дозволено снимање на далечниот крај сите одговараат на истото прашање, а нивното отсуство ве враќа кон тунелот, а не напред кон одговорот. Ова е проверката што го одделува проблемот со проследувањето од проблемот со повратниот пат.
Ако барањето никогаш не пристигнало, застанете тука. Тунелот, рутирањето до приватниот префикс или правилото за пристап се темата, а патот на одговорот сѐ уште не е релевантен. Забележете ја и изворната адреса што ја видел серверот. Таа е или адресата од базенот што ја добил клиентот или преведена адреса, и таа разлика одредува која од подоцнежните проверки важи.
Одговорот бара рута до базенот
Клиентот за далечински пристап обично добива адреса од базен, а приватната мрежа бара рута назад до тој базен. Сервер чија стандардна рута покажува кон сопствената порта го предава пакетот на таа порта, која нема поим каде се наоѓа базенот, па одговорот умира таму. Клиентот гледа истекување затоа што ништо не се врати, што не може да се разликува од барање што никогаш не излегло.
Проверете ја рутата што серверот ја избира за адресата на клиентот, а не рутата што ја користи за сопствената подмрежа. Овие две пребарувања можат да дадат различни одговори, и втората е таа што е важна овде. Преводот е алтернативниот дизајн и го менува тоа што го гледа серверот. Може да го поедностави повратниот пат, а исто така ја отстранува оригиналната адреса на клиентот од дневниците на серверот, што влијае на секое правило или извештај изграден на тоа поле.
Споредете го снимањето на серверот со снимањето на портата
Споредете што го напушта серверот со тоа што пристигнува на портата. Снимање на излезниот интерфејс на серверот и снимање на портата на тунелот одговараат на различни половини од прашањето, а јазот меѓу нив ја лоцира загубата.
ip route get 10.90.0.14
tcpdump -ni any host 10.90.0.14 and port 443
ip route show table all | grep 10.90.0.0| Where the reply stops | What it proves |
|---|---|
| Request in the server log, nothing on its outbound capture | The server picked a gateway that cannot reach the pool |
| Reply leaves the server but never shows up at the gateway | Loss on the LAN path, not on the tunnel |
| Reply reaches the gateway but not the client | Return translation or tunnel policy, not the server route |
Барање што самата порта го создава е слаба замена за тест од клиентот, затоа што произлегува од друга адреса и се среќава со други правила. Затоа успешен ping од портата и неуспешно барање од клиентот можат да бидат вистинити истовремено.
Кога на патот има неколку рутери, проверете го секој на кој му треба рута до базенот. Дизајнот од локација до локација често бара далечниот префикс да биде познат на повеќе од еден уред, а самата порта мора да проследува меѓу тунелот и локалната мрежа; белешките на strongSwan за проследување ја покриваат страната на sysctl и ѕидот за заштита од тоа.
Запишете го базенот, префиксот и одговорниот
Четири факти ѝ припаѓаат на белешката: базенот што клиентот го доби, приватниот префикс што му требаше, рутерот одговорен за одговорот и правилото за превод ако постои. Со нив, подоцнежната промена на портата е споредба, а не истрага.
Потоа тестирајте повторно со обичен клиент и вистинската сметка на апликацијата. Проширувањето на привилегиите на апликацијата не може да го поправи повратниот пат на пакетот, а промената на сметката за време на оваа дијагноза ќе ја збуни следната споредба. Ако дизајнот се потпира на превод, документирајте го таму каде што се читаат дневниците на серверот. Оној што ќе види непозната изворна адреса во трагата за ревизија не треба повторно да го открива мапирањето од тикет.