Den offentlege VPN-lista seier på nett; klienten din seier nei

Du opnar katalogen, sorterer etter fart, vel ein knute merkt som på nett, og klienten gir opp før han er ferdig med å kople til. Lista ljugde ikkje, strengt teke. Ho rapporterte resultatet av ein annan sin sondering, frå eit anna nettverk, på eit tidlegare tidspunkt, mot ei teneste som ein frivillig kan slå av når som helst. Å forstå dette gapet gjer ein frustrerande jakt om til ei kort rekkje sjekkar du kan køyre på kva som helst kandidat.

Kva lista faktisk målte

Ein offentleg katalog held felt som tidspunktet for siste sjekk, ein observert rundturverdi, eit sesjonstal og stundom ei protokollliste. Kvart av dei skildrar den siste vellukka observasjonen frå prosjektet sitt eige ståstad, ikkje tilstanden til knuten når pakken din kjem.

Ferskleiken tyder meir enn talet. Ein knute som vart sjekka for fire minutt sidan, og ein knute som vart sjekka for fire timar sidan, kan vise same grøne markøren, og berre éin av dei liknar framleis den registrerte tilstanden. Sjå etter tidsstempelet, ikkje fargen.

Frivillig drift legg til ein andre endringskjelde som inga overvaking kan rette. Operatøren startar kanskje ein berbar PC på nytt, går tom for bandbreidd, byter leverandør eller berre legg lokket att. Ei oppføring i lista er ein kandidat, og å handsame ho som ein tenestenivåavtale er ein kategorifeil.

Følg fasane til klienten, ikkje snurringa

Kvar VPN-klient går gjennom den same breie sekvensen: løys opp namnet, opne ei transporttilkopling, forhandle tryggleik, autentiser, og set så opp tunnelen og send data. Eit svikt i kvar fase etterlèt ulike spor, og snurringa viser ingen av dei.

Byrj med namneoppslag. Viss vertsnamnet ikkje blir løyst opp, er ingenting om tilgjenge til knuten testa, fordi tilkoplinga aldri forlét maskina di. Deretter transporten: ein avvist eller tidsavbroten TCP- eller UDP-utveksling fortel deg at endepunktet ikkje svarar på den porten, noko som er eit reelt funn om knuten. Så forhandling og autentisering, der eit feil sertifikat, ein utløpen profil eller ein mismatch av chiffer feilar medan knuten er heilt frisk. Først etter at tunnelen er sett opp, kan ein ruting- eller DNS-feil forklare det siste trinnet.

Les klientloggen med den høgaste detaljgraden som framleis får plass på skjermen, og noter den siste linja som lukkast. Den linja er der diagnosen byrjar, og ho er vanlegvis meir informativ enn noko katalogen viser.

Éin variabel per forsøk

Samanlikn kandidatar med same klient, same aksessnett og same profilformat, og endre berre endepunktet. Elles kan ein feil vere din, og du vil tilskrive han knuten.

To forsøk er nok til å fastslå eit mønster, og eit tredje stadfestar det. Viss knute A sviktar i transportfasen og knute B i autentiseringa, har du to uavhengige problem i staden for éi utdatert liste.

Når kvar knute sviktar på same måte

Eit universelt svikt i den første fasen peikar mot di side: ein oppløysar som ikkje kan svare, ein lokal brannmur som blokkerer protokollen, eller eit nettverk som berre tillèt webtrafikk. Katalogen kan ikkje rapportere det, fordi sonderingane ikkje køyrer frå plassen din.

Test tilfellet med eit forma nettverk med vilje. Nokre aksessnett tillèt HTTPS til nettet og slepp andre protokollar, noko som får kvar kandidat til å sjå død ut medan lista er nøyaktig. Å samanlikne ei sideinnlasting i nettlesaren med eit rått tilkoplingsforsøk skil dei to situasjonane på under eit minutt.

Les feilen i den fasen der han oppstod

Reproduser forsøket frå ein terminal slik at fasane er synlege. Dei tre kommandoane nedanfor løyser opp namnet, testar om porten svarar, og skriv ut forhandlingslinjene frå ein OpenVPN-profil:

dig +short node.example.net
curl -s --max-time 5 telnet://node.example.net:443
openvpn --config node.ovpn --verb 4 2>&1 | grep -iE "TLS|AUTH|PUSH"

Viss porten svarar og forhandlingslinja rapporterer eit sertifikatproblem, er knuten oppe og profilen din utdatert. Viss porten ikkje svarar i det heile, er oppføringa ein kandidat som feila, og å gå vidare til den neste er rett svar i staden for å feilsøke klienten din. Noter fasen på ei kort linje, og neste forsøk byrjar med kunnskap i staden for håp.