VPN tilkoblet, men ingen internett? Gå gjennom de fire lagene

Klienten sier tilkoblet, nettleseren spinner, og hver side ender i tidsavbrudd. Den kombinasjonen er vanlig og ikke en motsetning: tilkoblet betyr at tunnelen forhandlet, og ikke mer. Navneoppslag, ruting og serverens egen utgang svikter hver på sin måte, og hver har en annen eier. Gå gjennom lagene i rekkefølge og stopp ved det første som svikter.

Start med nettet du kom fra

Koble ned tunnelen med klientens egen frakoblingskontroll, og prøv deretter to uavhengige HTTPS-nettsteder hvis policyen tillater det. La sensitivt arbeid være lukket mens testen varer. Hvis vanlig tilgang også svikter, er ikke VPN den første mistenkte.

Se på Wi-Fi-koblingen, ruteren og enhver portalfside som krever innlogging før du rører tunnelen. En kill switch kan blokkere trafikk mens du er frakoblet etter design, så følg dens dokumenterte testprosedyre i stedet for å konkludere at nettet er dødt. Et annet klarert nett er en nyttig sammenligning, og en ny VPN-utgang fullfører ikke en utløpt hotellinnlogging. Hvis det åpne nettet virker og tunnelen ikke, er nettet frikjent og neste lag er ditt.

Avgjør om feilen er navneoppslag

Skriv ned feilteksten, fordi oppslagsfeil, tidsavbrudd og sertifikatvarsel hver peker et annet sted. Mønsteret som må fanges tidlig, er et vertsnavn du aldri har besøkt som svikter mens et program med åpen økt fortsetter. Det mønsteret handler om nye oppslag, ikke om tunnelen bærer pakker. Ett oppslag viser hva resolveren returnerer, og det tar ett sekund. Prøv også et andre navn, så ett bufret svar eller én ødelagt post ikke avgjør diagnosen.

nslookup example.com

En vilkårlig IP i HTTPS-adresselinjen er ikke en DNS-test, fordi sertifikatet og den virtuelle verten vanligvis avhenger av navnet. Interne navn kan trenge organisasjonens resolver i stedet for en offentlig erstatning, og en nettleser med egen sikker resolver kan svare annerledes enn operativsystemets oppslag. Der de to er uenige, er nettleserens resolver den brukeren opplever, og den forskjellen hører i saken.

Full tunnel eller bare bedriftens subnett

Noen profiler finnes bare for å nå en håndfull bedriftsubnett; andre er bygget for å bære alt og trenger en fungerende utgang bak seg. Les det dokumenterte formålet før du antar at indikatoren dekker hvert program og hver adressefamilie. En privatnettprofil kan virke nøyaktig som designet mens nettleseren, som aldri skulle bruke den, fortsatt svikter. Les rutetabellen uten å endre den, og ta med IPv6, fordi en fungerende IPv4-rute ikke sier noe om den andre familien.

En mer spesifikk rute kan vinne mens standardruten fortsatt finnes, derfor må tabellen leses og ikke antas. Konkurrerende virtuelle adaptere kan også eie trafikk du forventet andre steder, særlig etter at en annen VPN-klient er installert og glemt. Ikke slett standardruten som et eksperiment; det gjør en diagnose til et andre avbrudd.

Ett nettsted som svikter blant de som virker, er et problem med det nettstedet, og det beviser også at tunnelen bærer trafikk. Stopp som bare vises ved store overføringer peker på pakkestørrelse og ikke på tilgjengelighet.

Når serveren aldri videresender noe

Hvis hver destinasjon svikter på to enheter og to aksessnett, er tunnelen oppe og utgangen videresender ikke. Den kombinasjonen skiller en feil på serversiden fra én enhet som er feilkonfigurert på ett sted. Send operatøren spørsmålene om videresending, NAT og returvei, ikke et skjermbilde av indikatoren.

De tre dekker de fleste årsakene på serversiden, og det er operatørens oppgave å svare. OpenVPN-siden for feilsøking av tilkobling går gjennom de samme spørsmålene fra serversiden, så send den videre med saken. Et skjermbilde av en grønn indikator svarer på ingen av dem.

Gå gjennom klientloggen etter innlogging for feil ved bruk av ruter, DNS-innstillinger eller den virtuelle adapteren. Feil på det stadiet peker på enheten og ikke på serveren. En feil som aldri vises i loggen, er like opplysende, fordi den flytter mistanken til den andre siden.

Sjekk ett lag om gangen

Når du har endret noe, koble til på nytt og gjenta nøyaktig programmet som sviktet. Én side som lastes, beviser mindre enn en gjentakbar vei til ressursene profilen ble bygget for. To kommandoer skiller oppslag fra tilgjengelighet, og den andre er vertsspesifikk. Kjør curl-linjen hvor som helst, og deretter rutekommandoen som passer verten foran deg.

curl -sS -o /dev/null -w "%{http_code}" --max-time 5 https://example.com
route print -4          # Windows
ip -4 route show        # Linux
netstat -rn | head      # macOS

Hvis den numeriske forespørselen virker og navnet ikke, bli på DNS. Hvis ingen av dem virker, sammenlign rutetabellen med tunnelens forventede standard, og sjekk familien du faktisk tester. Hvis ruten er riktig og forespørselen fortsatt dør ved utgangen, tilhører det gjenværende spørsmålet operatøren, og bevisene du tok vare på, er saken.