Dlaczego niektóre strony zawodzą tylko przy włączonym VPN?

Jedna strona, która zawodzi, gdy reszta się ładuje, szybko zawęża usterkę. Przeczytaj błąd, sprawdź rozwiązywanie nazw, a potem przetestuj rozmiar pakietów, zanim dotkniesz klienta.

To, że jedna strona zawodzi, podczas gdy wszystko inne się ładuje, dowodzi, że tunel przenosi ruch, co zawęża problem bardziej, niż większość się spodziewa. Trzy obserwacje porządkują resztę: czy w ogóle dostałeś odpowiedź HTTP, czy nazwa hosta została rozwiązana na adres i czy małe żądania przechodzą, podczas gdy duże się zatrzymują. Zgadywanie na temat VPN, zanim masz te odpowiedzi, zwykle przenosi usterkę zamiast ją usuwać.

Prześledź obserwacje po kolei, bo strona, która odpowiedziała, nie mogła jednocześnie zawieść na etapie rozwiązywania. Jeśli nic się nie ładuje, jesteś w złej gałęzi i obowiązują testy połączenia bez internetu.

Pozwól komunikatowi błędu wybrać gałąź

Odmowa, test antybotowy lub strona błędu oznaczają, że usługa odpowiedziała, więc pakiety dotarły do aplikacji i wróciły. To przenosi pytanie do polityki dostępu witryny, która może ważyć adres wyjścia, konto lub niewidoczne wzorce żądań. Błąd rozwiązywania nazw nigdy nie dotarł do witryny, a adres to pierwsza rzecz do sprawdzenia. Limit czasu leży pomiędzy nimi: coś zostało wysłane i nic tego nie potwierdziło.

Ostrzeżenia o certyfikatach należą do czwartej gałęzi. Oznaczają, że połączenie obsłużyło coś, którego tożsamości przeglądarka nie mogła zweryfikować: albo proxy po twojej stronie, albo prawdziwa niezgodność, przez którą nie należy klikać. Traktuj to jako kwestię zaufania, nie routingu.

Strona, która odpowiada, nie dowodzi zepsutego tunelu

Gdy odpowiedzią jest strona blokady, porównaj tę samą stronę przez drugie wyjście, nie zmieniając przeglądarki ani maszyny. Jeśli wynik podąża za adresem wyjścia, witryna traktuje ten adres inaczej i żadna konfiguracja klienta tego nie zmieni. Jeśli blokada podąża za twoją przeglądarką, przyczyna tkwi w rozszerzeniu, zapisanym proxy lub ustawieniu resolwera. Dwa przebiegi tanio rozdzielą te wyjaśnienia.

Awarie wyłącznie w przeglądarce są dość częste, by testować je wcześnie. Strona, która ładuje się w jednej obsługiwanej przeglądarce, a w innej zawodzi, wskazuje na stan profilu, blokadę treści lub szyfrowany DNS skonfigurowany wewnątrz samej przeglądarki. Wskazówki Chrome dotyczące bezpiecznego DNS pokazują, gdzie jest to ustawienie, a zmiana go za pomocą obsługiwanej kontrolki jest lepsza niż resetowanie urządzenia.

Gdy zatrzymują się tylko duże transfery, sprawdź rozmiar pakietów

Strona, która wyrenderuje nagłówek i potem się zawiesza, ma inną sygnaturę niż strona, która nigdy nie startuje. Małe odpowiedzi mogą przechodzić, podczas gdy pełnowymiarowy ładunek jest gdzieś odrzucany, co nie potrafi tego zasygnalizować nadawcy, i tak właśnie wygląda awaria MTU ścieżki widziana z przeglądarki. Porównaj malutkie żądanie i duże do tego samego hosta, zanim zaczniesz teoretyzować o filtrowaniu. Wykrywanie MTU ścieżki ma poznawać najmniejszy rozmiar łącza na trasie i zależy od odpowiedzi ICMP, które filtrowane sieci rutynowo odrzucają.

Sprawdź tę hipotezę przemiataniem rozmiarów, a nie pojedynczym pingiem. Awaria zaczynająca się przy stałym rozmiarze ładunku jest mocnym dowodem, a awaria, która się przesuwa, nie jest.

Potwierdź poprawkę na żądaniu, które zawiodło

Przetestuj ponownie pierwotną operację, nie stronę główną, bo buforowana powłoka może się wyrenderować, podczas gdy wywołanie API za logowaniem nadal zawodzi. Polecenia poniżej rozdzielają rozwiązywanie nazw, małe żądanie i duże do tego samego hosta. Podmień nazwę hosta i ścieżkę na te z żądania, które naprawdę się zepsuło.

dig +short www.example.com
curl -sS -o /dev/null -w '%{http_code} %{time_total}\n' https://www.example.com/
curl -sS -o /dev/null -w '%{http_code} %{size_download}\n' https://www.example.com/assets/app.js
ping -M do -s 1400 -c 3 203.0.113.20

Jeśli odpowiedź dig różni się od tej, której użyła przeglądarka, zmienną jest resolwer, a miejscem do sprawdzenia jest własne ustawienie DNS przeglądarki. Jeśli małe żądanie zwraca status, a duże się zatrzymuje, przejdź do gałęzi rozmiaru pakietów. Jeśli oba przekroczą limit czasu, ścieżka wyjścia i podejście witryny do tego adresu wracają na stół.

Zachowaj zmianę, która sprawiła, że pierwotne żądanie się powiodło, a resztę cofnij. Stos równoczesnych zmian w przeglądarce, resolwerze i kliencie sprawia, że nie umiesz już powiedzieć, która miała znaczenie.

Powiązane artykuły