Kvifor eit fungerande VPN likevel får tidsavbrot på svaret
At ein førespurnad når ein privat tenar, er berre halve utvekslinga. Svaret må finne tunnelklienten gjennom den tiltenkte gatewayen, ruta eller omsetjinga.
Førespurnaden kjem inn, tenaren loggar han, og klienten rapporterer framleis tidsavbrot. Den kombinasjonen tyder at svaret ikkje fann vegen tilbake, og det er ein av dei få feila du kan stadfeste frå båe endar samstundes. Gå gjennom kontrollane i rekkjefølgje og stopp når ein av dei sviktar.
Byrja med kvar førespurnaden kom inn
Stadfest at pakken nådde tenesta før du granskar noko anna. Ei logglinje på tenarsida, ein tilkoplingsteljar eller eit tillate opptak i den fjerne enden svarar alle på det same spørsmålet, og at dei manglar sender deg tilbake til tunnelen i staden for vidare til svaret. Dette er kontrollen som skil eit videresendingsproblem frå eit returvegsproblem.
Viss førespurnaden aldri kom inn, stopp her. Tunnelen, rutinga til det private prefikset eller tilgangsregelen er temaet, og returvegen er enno ikkje relevant. Noter også kjeldeadressa tenaren såg. Ho er anten adressa frå utvalet klienten fekk, eller ei omsett adresse, og den skilnaden avgjer kva av dei seinare kontrollane som gjeld.
Svaret treng ei rute til utvalet
Ein fjernåtkomstklient får vanlegvis ei adresse frå eit utval, og det private nettet treng ei rute tilbake til det utvalet. Ein tenar der standardruta peikar på sin eigen gateway, overlèt pakken til den gatewayen, som ikkje anar kvar utvalet ligg, og svaret døyr der. Klienten ser eit tidsavbrot fordi ingenting kom tilbake, og det kan ikkje skiljast frå ein førespurnad som aldri forlét maskina.
Kontroller ruta tenaren vel for klientadressa, ikkje ruta han brukar for sitt eige subnett. Dei to oppslaga kan gje ulike svar, og det andre er det som tyder noko her. Omsetjing er det alternative designet, og det endrar kva tenaren ser. Det kan forenkle ein returveg, og det fjernar også den opphavlege klientadressa frå loggane til tenaren, noko som påverkar kvar regel eller rapport bygd på det feltet.
Samanlikn opptaket på tenaren med opptaket på gatewayen
Samanlikn det som forlèt tenaren, med det som kjem inn til gatewayen. Eit opptak på den utgåande grensesnitta til tenaren og eit opptak på tunnelgatewayen svarar på ulike halvdelar av spørsmålet, og gapet mellom dei lokaliserer tapet.
ip route get 10.90.0.14
tcpdump -ni any host 10.90.0.14 and port 443
ip route show table all | grep 10.90.0.0| Where the reply stops | What it proves |
|---|---|
| Request in the server log, nothing on its outbound capture | The server picked a gateway that cannot reach the pool |
| Reply leaves the server but never shows up at the gateway | Loss on the LAN path, not on the tunnel |
| Reply reaches the gateway but not the client | Return translation or tunnel policy, not the server route |
Ein førespurnad som gatewayen sjølv genererer, er ein dårleg erstatning for ein klienttest, fordi han kjem frå ei anna adresse og møter andre reglar. Difor kan ein vellukka ping frå gatewayen og ein mislukka førespurnad frå klienten båe vere sanne.
Når det sit fleire rutarar på vegen, kontroller kvar einskild som treng ei rute til utvalet. Eit nettstad-til-nettstad-design krev ofte at det fjerne prefikset er kjent på meir enn éi eining, og gatewayen sjølv må videresende mellom tunnelen og LAN-et; strongSwan-notata om videresending dekkjer sysctl- og brannmursida av det.
Noter utvalet, prefikset og eigaren
Fire fakta høyrer heime i notatet: utvalet klienten fekk, det private prefikset han trengde, rutaren som er ansvarleg for svaret, og omsetjingsregelen viss han finst. Med dei er ei seinare gatewayendring ein samanlikning og ikkje ei undersøking.
Test deretter på nytt med ein vanleg klient og den ekte applikasjonskontoen. Å utvide rettane til applikasjonen kan ikkje reparere returvegen til ein pakke, og ei kontoadring under denne diagnosen vil forvirre den neste samanlikninga. Viss designet kviler på omsetjing, dokumenter det der loggane til tenaren blir lesne. Den som ser ei ukjend kjeldeadresse i eit revisjonsspor, bør ikkje måtte gjenoppdage mappinga frå ei sak.