Istek veze VPN: DNS, transport, pregovaranje ili prijava

„Istekla je veza“ najmanje je specifična greška koju VPN klijent može ispisati. Znači da je jedna operacija propustila rok, a svaka faza od razrješavanja imena do odgovora na prijavu ima rok. Klijenti koji prikazuju samo završnu poruku čine faze identičnim, pa ljudi povećavaju istek, mijenjaju port i ponovo instaliraju profil, tim redom, ne naučivši ništa. Upoređivanje faza je brže: svaka ne uspijeva na drugom mjestu, a svaki neuspjeh ostavlja drugu vrstu dokaza.

Četiri faze, četiri različita neuspjeha

Slijed je fiksan čak i kad ga klijent skriva: ime se mora razriješiti, prema dobivenoj adresi mora se uspostaviti transport, protokol mora pregovarati svoje parametre i ključeve, a račun mora biti autentificiran. OpenVPN-ov vodič za rješavanje problema s povezivanjem slijedi isti redoslijed za vlastitog klijenta, a ostali ga pomno prate. Istek u drugoj fazi i istek u četvrtoj nemaju ništa zajedničko osim riječi na ekranu.

Čitajte dnevnik tražeći posljednji red koji pokazuje napredak, a ne posljednji red prije greške. Većina klijenata ispiše nešto poput razriješene adrese, uspostavljenog soketa, započetog rukovanja ili zahtjeva za autentifikacijom, a faza koja slijedi nakon tog reda je ona koja je istekla.

Razrješavanje imena ne uspijeva prije ikakvog kontakta

Ako se odredište nikad ne razriješi, klijent se nema čemu povezati i nikakav transportni posao nije obavljen. Takav neuspjeh obično je trenutan, a ne puni istek, što je najjeftiniji način da ga razlikujete od ostalih. Testirajte ime sistemskim razrješivačem i drugim razrješivačem i uporedite dva odgovora prije nego zaključite da je server pao.

Stara adresa kopirana s forumske objave čest je uzrok isteka koji izgleda kao problem servera, jer adresa sada pripada nečemu drugom ili ničemu. Koristite trenutni profil operatera umjesto da zamjenjujete adresu koja je nekad radila. Izostanak odgovora na ping nije dokaz ni u kojem smjeru: mnoga odredišta odbacuju ICMP a pritom sasvim dobro poslužuju.

Postavljanje transporta čeka paket koji neće doći

Kad je DNS u redu a klijent ipak sagori cijeli istek, sumnjivac je transportni sloj. Na TCP-u možete testirati port direktno; Test-NetConnection na Windowsu ili nc -vz na Linuxu kaže vam prihvaća li nešto vezu, i to je korisnije od pinga. Na UDP-u ne možete testirati na isti način, jer na tom sloju nema rukovanja koje treba dovršiti, a ta asimetrija stvara mnogo pogrešnih zaključaka.

Ono što TCP test dokazuje ograničeno je: servis koji prihvata port 443 nije nužno VPN slušalac, a odredište samo s UDP-om nema TCP port da bilo šta prihvati. Prepisivanje profila s UDP-a na TCP ne stvara slušaoca na drugoj strani; samo mijenja ono što vaš klijent čeka. Ako mreža filtrira protokol, promjena proizvodi drugačiji istek u istoj fazi.

Captive portali zaslužuju vlastitu provjeru u ovoj fazi. Dok portal ne ovlasti uređaj, odlazni promet ide prema portalu i pokušaj tunela jednostavno visi. Prvo dovršite portal u pregledniku, zatim pokušajte ponovo, i ne mijenjajte profil dok je portal još na čekanju.

Pregovaranje i prijava znače da je server odgovorio

Kad tunel stigne do servera, klijent započinje rukovanje i greška mijenja karakter. Zastoj ovdje tiče se kompatibilnosti, a ne dostupnosti: neusklađene verzije protokola, postavka šifre ili data-kanala koju druga strana neće prihvatiti, ili profil koji očekuje funkciju koju server ne nudi. OpenVPN mijenjao je svoje zadane postavke pregovaranja između glavnih verzija dovoljno često da profil napisan za jednu generaciju može stići do servera i ipak se ne podići.

Autentifikacija je posljednja faza i najlakše se pogrešno pročita. Izričito odbijanje jest odgovor, što znači da put funkcioniše a problem je identitet, certifikat ili stanje računa. Tok jedinstvene prijave putem preglednika treći je slučaj: klijent čeka radnju koju niste poduzeli ili preglednik koji ne može pokrenuti, i ništa neće stići dok taj korak ne dovršite.

Uporedite dokaze prije nego promijenite ponovni pokušaj

Držite uređaj i profil fiksnima i mijenjajte po jedno, počevši od mreže. Ako se isti profil povezuje preko mobilne pristupne točke a istječe na hotelskom Wi-Fi-ju, promjenljiva je putanja, a ne server. Ako ne uspijeva svuda, promjenljiva je profil ili odredište. Ako ne uspijeva samo u jedno doba dana, zabilježite vremensku oznaku i uporedite je s događajima na strani servera prije nego išta pretpostavite o opterećenju.

Za servis koji administrirate, odlučujuće je poređenje dolazi li pokušaj uopće. Veza koja stigne do slušaoca i zatim zastane pripada fazi pregovaranja; ona koja se nikad ne pojavi u slušaočevom vidokrugu transportni je ili problem razrješavanja, i nikakvo podešavanje ponovnih pokušaja to neće pomjeriti. Dnevnici servera takođe odvajaju odbijenu prijavu od tihog odbacivanja, a to je razlika između popravke identiteta i popravke vatrozida.

Zabilježite verziju klijenta, naziv profila, vrijeme pokušaja s njegovom vremenskom zonom i prvu korisnu grešku umjesto završnog retka o prekidu. Uklonite ključeve i materijal s vjerodajnicama prije nego podijelite izvadak. Zatim napravite jednu smislenu ispravku i pokušajte ponovo, jer duži rok pomaže samo dokumentiranoj sporoj operaciji i ne čini ništa za pogrešnu adresu ili blokiran port.