VPN tilkopla, men éin teneste feilar: isoler stadiet

«Tilkopla» er det minst informative faktumet i ei VPN-sak. Det registrerer at to partar har fullført eit handshake, og ingenting om namnet som vart slått opp, grensesnittet pakken forlét gjennom, storleiken, eller om den andre enden godtok han. Difor kan éi teneste feile medan alle andre program på same berbare maskin verkar. Gå gjennom stadia i rekkjefølgje, og det første som feilar, namngjev feilen.

Byrj med namnet, ikkje tunnelen

Slå opp før du rutar, fordi eit dårleg svar gjer kvar seinare test meiningslaus. Spør namnet via systemresolveren og samanlikn svaret med adressa programmet faktisk brukte. Eit privat namn som kjem tilbake som ei offentleg adresse, tyder at spørjinga gjekk til ein resolver som ikkje har noko med saka å gjere. Eit namn som ikkje let seg slå opp, er same kategori, berre høgare.

resolvectl query host.internal
getent hosts host.internal

Nettlesarar med eiga innstilling for sikker DNS feilar her medan resten av systemet verkar. Difor høyrer ei klage som berre gjeld nettlesaren, først heime på dette stadiet, før nokon rører ei rute. Samanlikn båe kommandoane i staden for éin, fordi getent følgjer NSS-vegen og resolverførespurnaden gjer det ikkje.

Spør kjernen kva veg han valde

Rutetabellen er ein preferanserekkjefølgje, og vegen kjernen vel er ikkje alltid den diagrammet viser. Spør han direkte om den aktuelle destinasjonen. Svaret namngjev grensesnittet, neste hopp og kjeldeadressa som vil bli brukt. Ein pakke kan forlate tunnelen med ei kjeldeadresse den andre enden avviser, og ein meir spesifikk oppføring i den fysiske tabellen kan sende han ut gjennom Wi-Fi-grensesnittet i staden.

ip route get 10.20.30.40
ip -brief address show

Les felta dev, via og src i den rekkjefølgja, fordi kvart av dei utelukkar ei ulik mistanke. Dette stadiet eig òg tilstanden klienten installerte, fordi brannmurreglar og ruter kan bli ståande etter ein unormal avslutting. Difor er «ingen internett utan tunnelen» og «ingen internett med mindre klienten køyrer» éin feilfamilie, ikkje to.

Test pakkestorleiken

Eit lite svar som kjem tilbake medan ein stor overføring stoppar, peikar først på MTU-en til banen. Ein einaste sonde med do-not-fragment-biten sett, send innanfrå tunnelen, skil dette stadiet frå resten. Auk nyttelasta til sonden feilar, og du har talet som betyr noko.

ping -M do -s 1400 10.20.30.40

Små sondar som lykkast medan ei mappeliste eller ei opplasting heng, er signaturen på dette stadiet. Klaga høyrest ut som påloggingsdetaljar eller ein brannmurregel, og ho er ingen av delane.

Talet er ein eigenskap ved banen, ikkje ved klienten, så ein verdi som verkar på ei kontorforbinding, kan feile på ei mobil lenkje. Ta vare på sondekommandoen saman med saka, fordi neste person treng same måling. Viss ei mindre nyttelast passerer, er løysinga ein clamp eller ein lågare tunnel-MTU, ikkje ein ny cipher.

Test den andre enden

Test destinasjonen på adressa, og sjå deretter kva som lyttar der. Ei avvist tilkopling og ei tilkopling som aldri svarar, er ulike funn. Den første seier at noko køyrer og ikkje betener den porten, og den andre seier at ingenting kom tilbake. Ingen av dei er eit klientproblem som standard.

curl -sv http://10.20.30.41:8080/health
nc -vz -w 3 10.20.30.41 3389
ss -lnt 'sport = :8080'

Ingenting som kan nåast gjennom ein tunnel, kan vere ei teneste som berre lyttar på 127.0.0.1, fordi lyttaren aldri ser pakken. Når brannmuren på den fjerne verten tillèt kontoret sitt subnett og avviser tunnelpoolen, ser resultatet ut som ein klientfeil og er det ikkje. Remote Desktop eller fildeling som bryt saman medan webtrafikken overlever, hamnar vanlegvis her, uansett korleis brukaren formulerer det.

Knyt klaga til eitt stadium

Dei fleste rapportane fell i éin av fem former, og kvar form namngjev eit stadium. Eitt nettstad som berre verkar gjennom tunnelen, er eit namnesvar eller ein policy bunden til kjeldeadressa. Oppdateringar som feilar utan tunnelen medan surfing verkar, er eit namne- eller ruteproblem for den klienten.

At alt stoppar når ein leverandørklient startar, er installert tilstand, altså eit rute- og brannmursspørsmål. Éi teneste utilgjengeleg medan resten er i orden, er den andre enden. Overføringar som stoppar etter nokre sekund, er pakkestorleik. Match forma før du køyrer kommandoar, fordi ho avgjer kva bevis som skal samlast inn først.

Noter stadiet som gav den første feilen, saman med kommandoutskrifta. Ei sak som seier at kjeldeadressa var feil, med rutelina vedlagd, er verd å handle på, medan ei som melder at VPN-en er øydelagd, ikkje er det.