Permintaan sokongan VPN rumah perlukan satu aliran, bukan longgokan konfigurasi

Anda menyiarkan konfigurasi yang disunting, menyebut VPN tidak berfungsi dan menerima enam jawapan tentang enam perkara berbeza. Masalahnya biasanya permintaan, bukan pembaca. Pembantu tidak dapat tahu daripada konfigurasi sama ada terowong gagal dibina, dibina tetapi menggugurkan trafik, atau berfungsi baik sementara perkhidmatan fail di belakangnya menolak sambungan. Terangkan satu aliran sebaliknya, dengan tiga pemilik dan satu kegagalan yang diperhatikan, dan jawapan terus bertambah baik.

Mengapa permintaan mendapat jawapan tidak membantu

Konfigurasi menerangkan apa yang dikonfigurasi. Ia tidak menerangkan apa yang anda cuba, apa yang berlaku atau mesin mana antara beberapa mesin yang sepatutnya melakukan kerja apa. Tanpa itu, setiap pembaca meneka peringkat berbeza.

Kes ilustratif ialah komputer riba yang dalam perjalanan dan sepatutnya mencapai perkhidmatan fail pada pelayan rumah melalui get laluan rumah. Nyatakan sama ada get laluan, pelayan VPN dan pelayan fail ialah mesin yang sama atau tiga mesin, kerana fakta tunggal itu mengubah hampir setiap jawapan.

Isi rekod ini sebelum anda menyiarkan

Goal: the one resource or operation that should work
Path: client -> access network -> VPN endpoint -> resource
Owners: who controls the client, the gateway and the resource
Software: product, version and protocol in use
Expected: what success would look like
Observed: exact non-secret error or response
Time and change: when it started and what changed
Control: one comparable operation that still works

Lapan baris, dan kebanyakan permintaan menjadi boleh dijawab. Baris kawalan ialah yang orang tertinggal: jika melayari daripada komputer riba yang sama berfungsi sementara perkongsian fail tidak, itu menyempitkan masalah kepada laluan terowong atau perkhidmatan, dan tiada siapa perlu bertanya.

Kekalkan label yang konsisten apabila menyunting. Kekalkan perbezaan antara titik akhir awam, alamat terowong dan subnet rumah. Jika dua julat bertindih, biarkan hubungan itu kelihatan daripada menggantikan setiap rangkaian dengan pemegang tempat yang sama, kerana pertindihan itu selalunya jawapannya.

Namakan peringkat yang gagal, bukan seluruh log

Lima peringkat patut dipisahkan: penyelesaian nama, percubaan sambungan, pengesahan, pembinaan terowong dan akses kepada sumber. Katakan yang mana anda fikir gagal dan apa yang anda lihat di sana.

Tampal petikan kecil di sekitar peristiwa itu daripada setiap fail nyahpepijat yang klien boleh hasilkan. Seratus baris bunyi jabat tangan menyembunyikan baris yang mengatakan nama sijil tidak sepadan.

Asingkan pemerhatian daripada penjelasan. “Klien melaporkan tamat masa jabat tangan selepas 30 saat” ialah pemerhatian; “saya rasa pembekal menyekat UDP” ialah teori. Kedua-duanya berguna, dan mencampurkannya bermakna pembantu tidak tahu mana untuk dipercayai. Labelkan kedua-duanya, dan jawapan yang anda terima akan menuju yang betul.

Hantarkannya kepada pemilik yang boleh bertindak

Untuk komputer riba yang diuruskan majikan, mulakan dengan saluran sokongan majikan, kerana forum komuniti tidak boleh mengubah dasar mereka. Untuk perkhidmatan VPN komersial, nyatakan produk dan akaun secara peribadi, bukan awam. Untuk get laluan anda sendiri, sertakan peranan penghala dan pelayan yang anda kawal.

Jika anda menggunakan komuniti awam, pilih yang skop semasanya sepadan dengan tugas. Benang lama tentang peraturan forum bukan kontrak sokongan, dan jawapan berusia lima tahun tentang versi protokol yang anda tidak jalankan juga bukan.

Sembunyikan rahsia tanpa meratakan topologi

Buang kunci peribadi, kata laluan, token dan pautan yang membawa kelayakan sebelum apa-apa meninggalkan mesin anda. Eksport diagnostik dan konfigurasi lengkap ialah artifak berbeza walaupun nama fail kelihatan serupa, dan yang anda tampal mungkin mengandungi kunci yang dikongsi terlebih dahulu.

Kemudian kekalkan hubungan yang menjadikan aliran itu boleh difahami. RFC 6973 menganggap pengumpulan dan korelasi yang tidak perlu sebagai isu privasi, dan prinsip yang sama terpakai di sini: kongsi bukti yang penerima perlukan, bukan seluruh mesin.

Tutup dengan satu soalan yang boleh dijawab tentang percanggahan yang diperhatikan, seperti mengapa klien melengkapkan pengesahan dan kemudian tidak pernah menerima laluan. Soalan khusus mendapat jawapan khusus, dan rekod yang anda bina itulah yang membolehkan seseorang memberi satu tanpa meminta rahsia anda.