Ажиллаж буй VPN хариулт дээр яагаад хугацаа хэтэрдэг вэ
Хүсэлт хувийн серверт хүрэх нь солилцооны тал хувь л юм. Түүний хариулт нь төлөвлөсөн гарц, зам эсвэл орчуулгаар дамжин туннелийн клиентийг олох ёстой.
Хүсэлт ирж, сервер түүнийг бүртгэж, клиент хугацаа хэтэрсэн гэж мэдээлсээр байна. Энэ хослол нь хариулт буцах замаа олж чадаагүй гэсэн үг бөгөөд энэ нь хоёр төгсгөлөөс нэгэн зэрэг баталж болох цөөн алдааны нэг юм. Шалгалтуудыг дарааллаар нь хий, аль нэг нь бүтэлгүйтвэл зогс.
Хүсэлт хаана ирснээс эхэл
Өөр юу ч шалгахаас өмнө пакет үйлчилгээнд хүрснийг батал. Серверийн талын бүртгэлийн мөр, холболтын тоолуур эсвэл алслагдсан төгсгөлд зөвшөөрөгдсөн барилт бүгд нэг асуултад хариулдаг бөгөөд тэдгээр байхгүй бол таныг хариулт руу биш, туннель руу буцаана. Энэ бол дамжуулалтын асуудлыг буцах замын асуудлаас ялгах шалгалт юм.
Хүсэлт хэзээ ч ирээгүй бол энд зогс. Туннель, хувийн префикс рүү чиглүүлэх эсвэл хандалтын дүрэм сэдэв нь бөгөөд хариултын зам одоохондоо хамаагүй. Серверийн харсан эх сурвалжийн хаягийг ч тэмдэглэ. Энэ нь клиентэд өгсөн сангийн хаяг эсвэл орчуулсан хаяг бөгөөд энэ ялгаа нь дараагийн аль шалгалт хамаарахыг тодорхойлно.
Хариултад сан руу хүрэх зам хэрэгтэй
Алсын хандалтын клиент ихэвчлэн сангаас хаяг авдаг бөгөөд хувийн сүлжээнд тэр сан руу буцах зам хэрэгтэй. Өөрийн гарц руу чиглэсэн анхдагч замтай сервер пакетыг тэр гарцад өгдөг бөгөөд тэр нь сан хаана байгааг мэдэхгүй тул хариулт тэнд үхдэг. Юу ч буцаж ирээгүй тул клиент хугацаа хэтэрснийг хардаг бөгөөд үүнийг хэзээ ч гарч байгаагүй хүсэлтээс ялгах боломжгүй.
Серверийн өөрийн дэд сүлжээнд ашигладаг замыг биш, клиентийн хаягт сонгодог замыг шалга. Эдгээр хоёр хайлт өөр хариулт өгч болох бөгөөд энд хоёр дахь нь чухал. Орчуулга бол өөр хувилбар бөгөөд серверийн харж буй зүйлийг өөрчилдөг. Энэ нь буцах замыг хялбарчилж болох бөгөөд мөн клиентийн анхны хаягийг серверийн бүртгэлээс хасдаг нь тэр талбар дээр баригдсан аливаа дүрэм эсвэл тайланд нөлөөлдөг.
Серверийн барилтыг гарцын барилттай харьцуул
Серверээс гарч буй зүйлийг гарц руу ирж буй зүйлтэй харьцуул. Серверийн гарч буй интерфейс дээрх барилт ба туннелийн гарц дээрх барилт асуултын өөр өөр хагаст хариулдаг бөгөөд тэдгээрийн хоорондын зөрүү алдагдлын газрыг заана.
ip route get 10.90.0.14
tcpdump -ni any host 10.90.0.14 and port 443
ip route show table all | grep 10.90.0.0| Where the reply stops | What it proves |
|---|---|
| Request in the server log, nothing on its outbound capture | The server picked a gateway that cannot reach the pool |
| Reply leaves the server but never shows up at the gateway | Loss on the LAN path, not on the tunnel |
| Reply reaches the gateway but not the client | Return translation or tunnel policy, not the server route |
Гарц өөрөө үүсгэсэн хүсэлт нь клиентийн туршилтын муу орлуулагч, учир нь өөр хаягаас гаралтай бөгөөд өөр дүрэмтэй тулгардаг. Тиймээс гарцаас амжилттай ping болон клиентээс бүтэлгүй хүсэлт хоёулаа нэгэн зэрэг үнэн байж болно.
Замд хэд хэдэн маршруулагч байвал сан руу зам хэрэгтэй тус бүрийг шалга. Сайт хоорондын зохион байгуулалт нь алслагдсан префиксийг нэгээс олон төхөөрөмжид мэддэг байхыг ихэвчлэн шаарддаг бөгөөд гарц өөрөө туннель ба локал сүлжээний хооронд дамжуулах ёстой; strongSwan-ийн дамжуулалтын тэмдэглэл үүний sysctl болон галт ханын талыг хамарна.
Сан, префикс, хариуцагчийг бүртгэ
Тэмдэглэлд дөрвөн баримт орно: клиентийн авсан сан, түүнд хэрэгтэй байсан хувийн префикс, хариултын хариуцагч маршруулагч, байгаа бол орчуулгын дүрэм. Эдгээртэй дараагийн гарцын өөрчлөлт нь мөрдөн байцаалт биш, харьцуулалт болно.
Дараа нь энгийн клиент болон аппликейшны бодит бүртгэлээр дахин туршиж үз. Аппликейшны эрхийг өргөтгөх нь пакетын буцах замыг засахгүй бөгөөд энэ оношилгооны үеэр бүртгэл солих нь дараагийн харьцуулалтыг төөрөгдүүлнэ. Хэрэв зохион байгуулалт орчуулгад тулгуурладаг бол серверийн бүртгэлийг уншдаг газарт нь баримтжуул. Аудитын мөрөнд танихгүй эх сурвалжийн хаяг харсан хүн тасалбараас тохирлыг дахин нээх шаардлагагүй байх ёстой.