VPN подключён, но интернета нет? Пройдите четыре уровня

Клиент сообщает «подключено», браузер крутится, и каждый сайт заканчивается тайм-аутом. Это сочетание обычно и не является противоречием: «подключено» означает, что туннель договорился, и не более. Разрешение имён, маршрутизация и собственный выход сервера отказывают каждый по-своему, и у каждого свой владелец. Проходите уровни по порядку и остановитесь на первом, который откажет.

Начните с сети, из которой вы пришли

Сбросьте туннель собственной кнопкой отключения клиента, затем попробуйте два несвязанных сайта HTTPS, если политика позволяет. Оставьте чувствительную работу закрытой на время этой проверки. Если и обычный доступ не работает, VPN — не первый подозреваемый.

Посмотрите на Wi-Fi-соединение, роутер и любую страницу портала, требующую входа, прежде чем трогать туннель. Kill switch может блокировать трафик в отключённом состоянии по замыслу, поэтому следуйте его документированной процедуре проверки, а не делайте вывод, что сеть мертва. Другая доверенная сеть — полезное сравнение, и новый выход VPN не завершит просроченный вход в гостинице. Если открытая сеть работает, а туннель нет, сеть оправдана, и следующий уровень за вами.

Определите, связан ли отказ с разрешением имён

Запишите текст ошибки, потому что отказ разрешения, тайм-аут и предупреждение о сертификате указывают каждый в другое место. Шаблон, который нужно поймать рано: имя хоста, которое вы никогда не посещали, отказывает, а приложение с открытой сессией продолжает работать. Этот шаблон про новые запросы, а не про то, несёт ли туннель пакеты. Один запрос показывает, что возвращает распознаватель, и занимает секунду. Попробуйте и второе имя, чтобы один кэшированный ответ или одна испорченная запись не решили диагноз.

nslookup example.com

Произвольный IP в адресной строке HTTPS — не проверка DNS, потому что сертификат и виртуальный хост обычно зависят от имени. Внутренним именам может понадобиться распознаватель организации вместо публичной замены, а браузер с собственным защищённым распознавателем может ответить иначе, чем запрос операционной системы. Там, где они расходятся, распознаватель браузера — то, что испытывает пользователь, и это различие принадлежит заявке.

Полный туннель или только корпоративные подсети

Некоторые профили существуют лишь для доступа к нескольким корпоративным подсетям; другие созданы нести всё и требуют работающего выхода позади. Прочитайте документированное назначение, прежде чем считать, что индикатор покрывает каждое приложение и каждое семейство адресов. Профиль частной сети может работать ровно так, как задумано, а браузер, которому не полагалось им пользоваться, всё равно отказывает. Прочитайте таблицу маршрутов, не меняя её, и включите IPv6, потому что работающий путь IPv4 ничего не говорит о другом семействе.

Более конкретный маршрут может победить, пока маршрут по умолчанию ещё существует, поэтому таблицу нужно читать, а не предполагать. Конкурирующие виртуальные адаптеры тоже могут владеть трафиком, который вы ждали в другом месте, особенно после того, как второй клиент VPN установлен и забыт. Не удаляйте маршрут по умолчанию ради эксперимента; это превращает диагностику во вторую аварию.

Один отказывающий сайт среди работающих — проблема этого сайта, и это также доказывает, что туннель несёт трафик. Задержки, появляющиеся только на больших передачах, указывают на размер пакета, а не на доступность.

Когда сервер ничего не пересылает

Если каждый пункт назначения отказывает на двух устройствах и двух сетях доступа, туннель поднят, а выход не пересылает. Именно эта пара отделяет отказ на стороне сервера от одного устройства, неверно настроенного в одном месте. Отправьте оператору вопросы о пересылке, NAT и обратном пути, а не снимок индикатора.

Эти три покрывают большинство причин на стороне сервера, и отвечать на них оператору. Страница устранения проблем с подключением OpenVPN проходит те же вопросы со стороны сервера, поэтому передайте её вместе с заявкой. Снимок зелёного индикатора не отвечает ни на один из них.

Просмотрите журнал клиента после входа на предмет отказов при применении маршрутов, настроек DNS или виртуального адаптера. Ошибки на этом этапе указывают на устройство, а не на сервер. Ошибка, которая никогда не появляется в журнале, столь же информативна, потому что переносит подозрение на другую сторону.

Проверяйте по одному уровню за раз

После изменения переподключитесь и повторите именно то приложение, которое отказало. Одна загрузившаяся страница доказывает меньше, чем воспроизводимый путь к ресурсам, для которых создан профиль. Две команды отделяют разрешение от доступности, и вторая зависит от хоста. Запустите строку curl где угодно, затем команду маршрутов, подходящую хосту перед вами.

curl -sS -o /dev/null -w "%{http_code}" --max-time 5 https://example.com
route print -4          # Windows
ip -4 route show        # Linux
netstat -rn | head      # macOS

Если числовой запрос работает, а имя нет, оставайтесь на DNS. Если не работает ни то ни другое, сравните таблицу маршрутов с ожидаемым значением туннеля по умолчанию и проверьте семейство, которое вы действительно тестируете. Если маршрут верен, а запрос всё равно умирает на выходе, оставшийся вопрос принадлежит оператору, а сохранённые доказательства и есть заявка.