Mengapa VPN yang Berfungsi Masih Tamat Masa pada Balasan
Permintaan yang sampai ke pelayan peribadi hanyalah separuh daripada pertukaran. Balasannya mesti mencari klien terowong melalui get laluan, laluan atau terjemahan yang dimaksudkan.
Permintaan tiba, pelayan merekodkannya, dan klien masih melaporkan tamat masa. Gabungan itu bermakna balasan tidak menemui jalan pulang, dan ia salah satu daripada beberapa kegagalan yang boleh anda sahkan dari kedua-dua hujung sekali gus. Lakukan pemeriksaan mengikut urutan dan berhenti apabila salah satunya gagal.
Mulakan dengan tempat permintaan tiba
Sahkan bahawa paket sampai ke perkhidmatan sebelum anda memeriksa apa-apa lagi. Entri log di sebelah pelayan, pembilang sambungan atau tangkapan yang dibenarkan di hujung jauh semuanya menjawab soalan yang sama, dan ketiadaannya menghantar anda kembali ke terowong dan bukan ke hadapan menuju balasan. Inilah pemeriksaan yang memisahkan masalah penghantaran daripada masalah laluan pulang.
Jika permintaan tidak pernah tiba, berhenti di sini. Terowong, penghalaan ke awalan peribadi atau peraturan akses ialah subjeknya, dan laluan balasan belum lagi relevan. Catat juga alamat sumber yang dilihat oleh pelayan. Ia sama ada alamat kolam yang diberikan kepada klien atau alamat yang diterjemah, dan perbezaan itu menentukan pemeriksaan mana yang berlaku seterusnya.
Balasan memerlukan laluan ke kolam
Klien akses jauh biasanya menerima alamat daripada kolam, dan rangkaian peribadi memerlukan laluan pulang ke kolam itu. Pelayan yang laluan lalainya menunjuk ke get laluannya sendiri menyerahkan paket kepada get laluan itu, yang tidak tahu di mana kolam itu berada, jadi balasan mati di sana. Klien melihat tamat masa kerana tiada apa yang kembali, dan itu tidak dapat dibezakan daripada permintaan yang tidak pernah keluar.
Periksa laluan yang dipilih pelayan untuk alamat klien, bukan laluan yang digunakannya untuk subnetnya sendiri. Kedua-dua carian itu boleh memberikan jawapan berbeza, dan yang kedua ialah yang penting di sini. Terjemahan ialah reka bentuk alternatif dan ia mengubah apa yang dilihat oleh pelayan. Ia boleh memudahkan laluan pulang, dan ia juga membuang alamat asal klien daripada log pelayan, yang menjejaskan apa-apa peraturan atau laporan yang dibina atas medan itu.
Bandingkan tangkapan di pelayan dengan tangkapan di get laluan
Bandingkan apa yang meninggalkan pelayan dengan apa yang tiba di get laluan. Tangkapan pada antara muka keluar pelayan dan tangkapan pada get laluan terowong menjawab dua separuh soalan yang berbeza, dan jurang antara keduanya menunjukkan lokasi kehilangan.
ip route get 10.90.0.14
tcpdump -ni any host 10.90.0.14 and port 443
ip route show table all | grep 10.90.0.0| Where the reply stops | What it proves |
|---|---|
| Request in the server log, nothing on its outbound capture | The server picked a gateway that cannot reach the pool |
| Reply leaves the server but never shows up at the gateway | Loss on the LAN path, not on the tunnel |
| Reply reaches the gateway but not the client | Return translation or tunnel policy, not the server route |
Permintaan yang dijana oleh get laluan itu sendiri ialah pengganti yang lemah bagi ujian daripada klien, kerana ia berasal dari alamat lain dan bertemu peraturan lain. Itulah sebabnya ping yang berjaya dari get laluan dan permintaan yang gagal dari klien boleh kedua-duanya benar.
Apabila terdapat beberapa penghala di laluan, periksa setiap satu yang memerlukan laluan ke kolam. Reka bentuk tapak-ke-tapak sering memerlukan awalan jauh diketahui pada lebih daripada satu peranti, dan get laluan itu sendiri mesti menghantar antara terowong dan LAN; nota penghantaran strongSwan meliputi bahagian sysctl dan tembok api itu.
Catat kolam, awalan dan pemiliknya
Empat fakta tergolong dalam nota: kolam yang diterima klien, awalan peribadi yang diperlukannya, penghala yang bertanggungjawab atas balasan, dan peraturan terjemahan jika ada. Dengan itu, perubahan get laluan kemudian menjadi perbandingan dan bukan penyiasatan.
Kemudian uji semula dengan klien biasa dan akaun aplikasi yang sebenar. Meluaskan keistimewaan aplikasi tidak dapat membaiki laluan pulang sesuatu paket, dan perubahan akaun yang dibuat semasa diagnosis ini akan mengelirukan perbandingan seterusnya. Jika reka bentuk bergantung pada terjemahan, dokumentasikannya di tempat log pelayan dibaca. Orang yang melihat alamat sumber yang tidak dikenali dalam jejak audit tidak sepatutnya perlu menemui semula pemetaan itu daripada tiket.