VPN hlási pripojenie, ale predvolená trasa je mŕtva

Klient hlási pripojenie, ikona v oznamovacej oblasti vyzerá normálne a nič sa nenačítava. Začalo sa to hneď po prechode z Wi-Fi na kábel alebo hneď po dokončení aktualizácie distribúcie. Nepokazil sa profil, ale stav vytvorený pre predchádzajúce základné pripojenie. Jádro má stále predvolenú trasu ukazujúcu na tunelové zariadenie, ktoré nikomu nepatrí, alebo resolver stále uvádza servery na spoji, ktorý zmizol. Obe poruchy vyzerajú ako mŕtva sieť a obe sa dajú opraviť na mieste.

Zastarané časti boli nesprávne už predtým, než ste si ich všimli. Vytiahnutie kábla ich len zviditeľnilo.

Opýtajte sa jadra, kam paket pôjde

Výpisy trás sa čítajú ťažko, pretože vypisujú všetko, čo systém pozná, vrátane položiek, ktoré už neplatia. Vyhľadanie trasy odpovedá na jedinú otázku, ktorá stojí za to: ktoré zariadenie práve teraz nesie tento konkrétny paket. Ak odpoveď vymenuje tunelové zariadenie, jadro ho použije, aj keď za ním nie je žiadny živý klientsky proces, a paket padne do rozhrania, ktoré nikto neudržiava. Ak odpoveď vymenuje adaptér Ethernet, zatiaľ čo klient tvrdí, že spojenie je aktívne, tunel existuje, ale stratil voľbu, čo je obvyklý výsledok prechodu z bezdrôtovej na drôtovú sieť.

Spustite vyhľadanie dvakrát, raz pre verejnú adresu a raz pre internú, pretože zásada rozdeleného tunela môže jednu smerovať poctivo a druhú zahodiť.

ip route show default
ip route get 1.1.1.1
ip route get 10.20.30.40

Resolver drží mŕtvy spoj tiež

Na hostiteľovi so systemd-resolved patria DNS servery spojom, nie jednému globálnemu zoznamu. VPN spoj, ktorý padol, môže nejaký čas zostať registrovaný so svojimi servermi, a potom každé vyhľadanie čaká na adresu, ktorá nikdy neodpovie. To oneskorenie pôsobí ako mŕtva sieť a posiela ľudí k trasám, aj keď je trasa v poriadku.

resolvectl status
resolvectl query intranet.example.com

Prečítajte bloky po spojoch a určite, ktorý spoj vlastní dotyčnú doménu. Tunel, ktorý je hore, ale nie je vlastníkom internej domény, odovzdáva interné názvy verejnému resolveru, a príznak je nerozoznateľný od poruchy smerovania.

Opravte registráciu, nie /etc/resolv.conf. V súčasných inštaláciách Ubuntu a Fedory je tá cesta symbolickým odkazom na behový stav resolvera, takže úprava sa buď ignoruje, alebo prepíše pri ďalšej sieťovej udalosti.

VPN sa nikdy nespustí samo

NetworkManager zdvíha VPN nad základné pripojenie a učí sa, ktoré má nasledovať, z connection.secondaries na tomto základe. Referenčná príručka nastavení pripojenia výslovne uvádza, že automatické pripájanie nie je pre profily VPN implementované. To je celý mechanizmus za touto triedou porúch: zmeňte základ a VPN sa musí znova spárovať alebo ručne aktivovať.

nmcli device status
nmcli connection show --active
nmcli connection up office-vpn

Keď aktívny zoznam ukazuje základ bez VPN, tunel nie je vôbec aktívny a trasa nebola nikdy nainštalovaná, namiesto toho, aby zostala zastaraná. Keď sa aktivácia sťažuje, že neexistuje zdrojové pripojenie, základ, s ktorým bol spárovaný, zmizol, preto najprv opravte základ alebo spárovanie a prestaňte VPN znova skúšať.

Aktualizácia môže zhodiť nastavenia bez správy

Aktualizácia distribúcie nahradí klienta a často jeho plugin pre NetworkManager, kým uložený profil si ponechá názvy vlastností, s ktorými bol zapísaný. Všetko, čo nový plugin už nerozpozná, sa ticho preskočí. Profil sa stále aktivuje a zariadenie sa stále objavuje, ale trasa, ktorá predtým prichádzala s ním, už neprichádza.

Ručne písané háčiky sa tiež posúvajú. Skript, ktorý inštaloval trasu v predvídateľnom okamihu starej postupnosti, teraz môže bežať predtým, než rozhranie existuje, alebo potom, čo klient už vypršal.

Porovnávajte živý profil s pluginom, ktorý skutočne máte, nie so správaním, ktoré si pamätáte. Ak kľúč z dokumentácie zmizol, presuňte prácu do skriptu dispečera alebo do podporovanej náhrady, namiesto obnovovania starej vlastnosti.

Tri stavy, tri rôzne opravy

Rozhodnite, v akom stave ste, skôr než sa čohokoľvek dotknete, pretože reštart ničí dôkazy a porucha sa vráti pri ďalšej sieťovej zmene.

Skončite jedným vyhľadaním pre verejnú adresu, jedným pre internú adresu a jedným dotazom na názov. Ak adresy fungujú a názov nie, zostávajúca porucha je rozsah domény v resolveri a tabuľka trás nikdy nebola problémom.