Zašto VPN može izgledati povezan dok ništa ne radi

Vaš klijent prijavljuje povezano, sučelje je podignuto, a preglednik istječe, i nijedna od te tri tvrdnje nije lažna. Povezano opisuje sloj koji nema nikakve veze sa stranicom koju ste zatražili. Da biste odredili koji sloj prijavljuje, potreban je jedan novi zahtjev i jedan pogled na brojač koji bi dokazao da je promet krenuo. Ponovno pokretanje odbacuje taj dokaz i iznova gradi uvjete koje ste pokušavali promatrati.

Tri različite stvari koje nazivamo povezano

Na dnu povezano može značiti da proces klijenta radi i drži utičnicu prema partneru. Iznad toga može značiti da postoji sučelje s adresom, koje trajni uređaj ili rutina oporavka mogu stvoriti bez žive sesije iza njega. Na razini upravljanja može značiti da je asocijacija dogovorena, što ne govori ništa o tome je li ispod nje prešao ijedan paket. Svaka od njih preživljava kvarove koje ostale ne preživljavaju, a klijent obično prikazuje najjaču koju može tvrditi.

Zelena ikona i mrtav tunel stoga su spojivi, a ne proturječni; oni izvješćuju o različitim objektima. Upravo je to razlog zašto se ovaj kvar stalno pogrešno dijagnosticira kao greška u klijentu.

Pošaljite jedan bezopasan zahtjev na odredište koje vam je doista potrebno prije nego što dirnete daemon, i držite obvezni blok izravnog prometa na mjestu dok radite. Ponovno pokretanje briše redoslijed događaja i zatim ih ponovno stvara dovoljno blizu da sakrije uzrok, zbog čega se isti tiket vraća tjedan dana kasnije bez ičega novoga. Jedan zahtjev, jedno očitanje brojača i okidač koji je proizveo kvar minimalni su dokaz.

Koji brojač dokazuje da su paketi krenuli

U IPsecu su IKE asocijacija i CHILD asocijacija odvojeni objekti, a samo child nosi brojače koji odgovaraju na ovo pitanje. Izlistajte child, promatrajte rastu li paketi u oba smjera i usporedite to s onim što aplikacija pokušava učiniti. Instalirana asocijacija na nuli drugačiji je nalaz od one koja raste dok aplikacija još ne uspijeva; prva znači da promet nije odabran, druga da se kreće i da je kvar dalje. Pročitajte brojače dvaput, u razmaku od nekoliko sekundi, jer jedan uzorak ne može pokazati trend.

swanctl --list-sas
ip xfrm state list
ip -s link show dev tun0

Nulti brojači upućuju na odabir: usmjeravanje, pravilo, prostor imena iz kojeg je paket izašao ili sučelje na koje se klijent nikada nije vezao. Rastući brojači upućuju dalje od tunela, pa nastavite s prosljeđivanjem na udaljenoj strani, razrješavanjem imena, povratnim putem i odredišnom uslugom, tim redom. Protokol bez zasebnog child objekta izlaže isti dokaz svojim pojmovima, pa upotrijebite ono što izvješćuje o stanju partnera i broju paketa umjesto da posuđujete IPsec rječnik. Oblik očitanja važniji je od alata koji ga je proizveo.

Gdje kvar sjedi nakon što brojači krenu

Prolaz koji odgovara na vlastitoj upravljačkoj adresi dokazuje da prolaz radi, a ne da nešto iza njega poslužuje vaš zahtjev, pa testirajte udaljenu stranu, a ne kutiju u sredini. Razrješavanje imena najbolje skriva kvarove, jer resolver do kojeg se ne može doći kroz tunel istječe na način koji izgleda isto kao mrtva veza. Dvije pretrage razdvajaju te slučajeve i obje su jeftine. Prvo pitajte resolver koji tunel gura, zatim pitajte javni resolver za isto ime.

dig +short host.example
dig +short @10.20.0.1 host.example
ping -c 2 10.20.0.25

Ime koje se razrješava preko javnog resolvera, ali ne preko tunelskog, znači da je DNS put slomljen, dok ime koje se razrješava preko oba i dalje istječe u pregledniku upućuje na povratni put ili na uslugu. Ako ping po adresi uspije, a aplikacija još odbija, mreža je dostavila zahtjev, a usluga ga je odbila, što je posve kasnija faza.

Zabilježite okidač, zatim promijenite jednu stvar

Zabilježite što je prethodilo kvaru: razdoblje mirovanja, promjenu mreže, obnovu ključa, probuđeno prijenosno računalo ili obnovljeni sustav. Oni proizvode različite mehanizme, a samo se obnovljeni sustav obično sam popravi, što je upravo slučaj koji vas ničemu ne uči. Ponovno pokretanje uklanja redoslijed događaja i zatim ponovno stvara uvjete dovoljno blizu da sakrije uzrok. Zapišite okidač dok je još ponovljiv.

Zatim napravite jednu potkrijepljenu ispravku i ponovite izvorni zahtjev zajedno s okidačem koji je proizveo kvar. Mirovanje je okidač koji je najlakše ponoviti, pa je najbrža potvrda da je ispravka riješila mehanizam, a ne simptom.

Ono što želite prijaviti jest dokaz da je promet koji ste namjeravali poslati stigao do usluge do koje ste namjeravali doći. Ikona koja pozeleni, predmemorirana stranica koja se učita i brojač koji se pomakne svi zajedno dokazuju manje od jednog dovršenog zahtjeva prema namjeravanom odredištu. Držite zahtjev, očitanje brojača i okidač zajedno, kako bi sljedeća osoba mogla razlikovati ispravak od slučajnosti.