VPN bersambung tetapi peranti LAN tidak dapat dicapai: apa yang perlu diperiksa

Trafik masuk ke terowong, gerbang menjawab pada alamatnya sendiri, dan tiada apa di belakangnya menjawab. Corak itu lazim dan ia bukan percanggahan: balasan daripada gerbang membuktikan terowong telah tamat, dan ia tidak membuktikan apa-apa tentang apa yang berlaku kepada paket yang dialamatkan melepasinya. Kedua-dua ujian menggunakan laluan kod berbeza pada mesin yang sama.

Mulai sekarang uji sesuatu di sebelah sana gerbang. Alamat gerbang itu sendiri akan terus menjawab seburuk mana pun pemajuan.

Gerbang menjawab daripada timbunannya sendiri

Paket yang dialamatkan kepada gerbang dihantar ke laluan input tempatannya, di mana kernel memutuskan sama ada soket yang mendengar menerimanya. Paket yang dialamatkan kepada hos di belakang gerbang sebaliknya dihantar ke laluan pemajuan, di mana satu set semakan yang berbeza terpakai. Pemajuan boleh dilumpuhkan sepenuhnya, atau kernel menghidupkannya dan kemudian peraturan penapis yang tidak pernah menyebut terowong menolaknya. Tiada satu pun daripada itu menjejaskan balasan gerbang sendiri, sebab itulah gejala ini begitu boleh dipercayai mengelirukan.

Halaman pentadbiran yang dicapai melalui terowong juga tergolong dalam kategori pertama. Ia bukti tentang terowong, bukan tentang rangkaian di belakangnya.

Ikuti aliran sehingga sempadan pertama yang menggugurkannya

Mulakan di klien dan sahkan laluan serta alamat sumber yang akan digunakan oleh aliran. Kemudian perhatikan gerbang untuk ketibaan aliran yang tepat itu, dan sekali lagi aliran yang sama keluar menuju LAN. Jika ia tidak pernah tiba, masalahnya di sebelah klien atau pada awalan terowong yang dibenarkan. Jika ia tiba dan tidak pernah keluar, masalahnya pada pemajuan atau penapis laluan ke hadapan, dan tangkapan sudah menyebut yang mana.

Menjalankan ujian yang sama dari gerbang menyembunyikan separuh yang menarik, kerana paket yang berasal dari gerbang mempunyai sumber dan keperluan pulangan yang berbeza. Gunakan aliran klien, dengan alamat sumbernya sendiri, pada setiap langkah. Tangkapan yang diambil pada antara muka yang salah menghasilkan karut yang yakin.

Laluan pulangan dan tembok api hos gagal secara berasingan

Sebaik sahaja paket sampai ke hos, tiga perkara lagi mesti dipenuhi. Perkhidmatan mesti mendengar pada alamat yang paket dihantar, tembok api hos mesti menerimanya, dan balasan mesti mempunyai laluan kembali ke kumpulan klien. Yang terakhir sering gagal, kerana laluan lalai hos menunjuk ke penghala yang tidak pernah mendengar tentang julat terowong. Hasilnya ialah sambungan yang terbentuk dari sudut pandangan hos dan mati diam-diam ke arah lain.

Uji laluan pulangan dengan sengaja dengan menghantar dari klien dan memerhati pemulangan. Tangkapan satu arah menyelesaikan dalam beberapa saat apa yang tidak akan diselesaikan oleh satu jam spekulasi.

Sahkan setiap hop dengan alamat sumber klien

Jalankan semakan mengikut urutan dan simpan setiap output, kerana nilainya terletak pada perbandingan, bukan pada mana-mana baris tunggal. Perintah di bawah menetapkan alamat sumber, menunjukkan laluan yang dipilih dan menangkap kedua-dua belah pemajuan. Gantikan hos LAN dan antara muka terowong anda sendiri.

ip route get 192.168.50.20 from 10.8.0.2
ping -I 10.8.0.2 -c 3 192.168.50.20
sudo tcpdump -ni tun0 host 192.168.50.20
sudo tcpdump -ni br0 host 192.168.50.20

Pertanyaan laluan menunjukkan sama ada klien akan menghantar paket itu ke dalam terowong, dan ping menunjukkan sama ada sesuatu kembali daripada hos. Membandingkan kedua-dua tangkapan memisahkan ketibaan daripada keluar, kerana bingkai pada antara muka terowong tanpa pasangan pada antara muka LAN ialah keputusan pemajuan, bukan kegagalan perkhidmatan. Apabila kedua-dua tangkapan menunjukkan permintaan dan hanya satu menunjukkan balasan, laluan pulangan ialah suspek yang tinggal.

Catat alamat mana yang menjawab dan destinasi yang dimajukan mana yang gagal. Ayat itu menjadikan laporan boleh diambil tindakan dan bukannya dakwaan bahawa pelayan tidak dapat dicapai.