VPN je pripojená, ale internet nefunguje? Prejdite štyri vrstvy

Klient hlási pripojené, prehliadač sa točí a každá stránka skončí vypršaním času. Táto kombinácia je bežná a nie je rozpor: pripojené znamená, že tunel sa dohodol, a nič viac. Preklad mien, smerovanie aj vlastný výstup servera zlyhávajú každý po svojom a každý má iného vlastníka. Prechádzajte vrstvy po poradí a zastavte sa pri prvej, ktorá zlyhá.

Začnite sieťou, z ktorej ste prišli

Zhoďte tunel vlastným ovládacím prvkom klienta na odpojenie a potom skúste dve nesúvisiace stránky HTTPS, ak to politika dovoľuje. Citlivú prácu nechajte počas testu zavretú. Ak zlyhá aj bežný prístup, VPN nie je prvý podozrivý.

Pozrite sa na Wi-Fi spojenie, router a akúkoľvek portálovú stránku vyžadujúcu prihlásenie, než sa dotknete tunela. Kill switch môže prevádzku pri odpojení blokovať zámerne, preto postupujte podľa jeho zdokumentovaného testovacieho postupu, namiesto toho, aby ste usúdili, že sieť je mŕtva. Iná dôveryhodná sieť je užitočné porovnanie a nový výstup VPN nedokončí prepadnuté prihlásenie v hoteli. Ak otvorená sieť funguje a tunel nie, sieť je očistená a ďalšia vrstva je vaša.

Určite, či zlyhanie spočíva v preklade mien

Zapíšte text chyby, pretože zlyhanie prekladu, vypršanie času a varovanie o certifikáte ukazujú každé inam. Vzor, ktorý treba zachytiť skoro, je názov hostiteľa, ktorý ste nikdy nenavštívili, zlyhávajúci, zatiaľ čo aplikácia s otvorenou reláciou pokračuje. Tento vzor sa týka nových dopytov, nie toho, či tunel nesie pakety. Jediný dopyt ukáže, čo resolver vracia, a zaberie sekundu. Skúste aj druhé meno, aby diagnózu nerozhodla jedna uložená odpoveď alebo jeden poškodený záznam.

nslookup example.com

Ľubovoľná IP v adresnom riadku HTTPS nie je test DNS, pretože certifikát a virtuálny hostiteľ zvyčajne závisia od mena. Interné mená môžu potrebovať resolver organizácie namiesto verejnej náhrady a prehliadač s vlastným bezpečným resolverom môže odpovedať inak ako dopyt operačného systému. Kde sa oba rozchádzajú, resolver prehliadača je ten, ktorý používateľ zažíva, a tento rozdiel patrí do tiketu.

Plný tunel alebo len firemné podsiete

Niektoré profily existujú len na dosiahnutie hŕstky firemných podsietí; iné sú stavané tak, aby niesli všetko, a potrebujú za sebou funkčný výstup. Prečítajte si zdokumentovaný účel, než predpokladáte, že indikátor pokrýva každú aplikáciu a každú rodinu adries. Profil privátnej siete môže fungovať presne tak, ako bol navrhnutý, zatiaľ čo prehliadač, ktorý ho nikdy nemal používať, stále zlyháva. Prečítajte tabuľku smerovania bez jej zmeny a zahrňte IPv6, pretože funkčná cesta IPv4 nič nehovorí o druhej rodine.

Konkrétnejšia trasa môže vyhrať, aj keď predvolená trasa stále existuje, a preto sa tabuľka musí čítať, nie predpokladať. Konkurenčné virtuálne adaptéry môžu tiež vlastniť prevádzku, ktorú ste čakali inde, najmä po tom, ako bol nainštalovaný a zabudnutý druhý klient VPN. Nemažte predvolenú trasu ako experiment; premení to diagnózu na druhý výpadok.

Jeden zlyhávajúci web medzi funkčnými je problém toho webu a tiež dokazuje, že tunel nesie prevádzku. Zaseknutia, ktoré sa objavujú len pri veľkých prenosoch, ukazujú na veľkosť paketu, nie na dostupnosť.

Keď server nikdy nič neposiela ďalej

Ak každé cieľové miesto zlyhá na dvoch zariadeniach a dvoch prístupových sieťach, tunel je hore a výstup neposiela ďalej. Práve táto kombinácia oddeľuje zlyhanie na strane servera od jedného zariadenia nesprávne nastaveného na jednom mieste. Pošlite operátorovi otázky na posielanie ďalej, NAT a spätnú cestu, nie snímku indikátora.

Tieto tri pokrývajú väčšinu príčin na strane servera a odpovedať má operátor. Stránka na riešenie problémov s pripojením OpenVPN prechádza tie isté otázky zo strany servera, preto ju odovzdajte spolu s tiketom. Snímka zeleného indikátora neodpovedá na žiadnu z nich.

Prejdite klientsky log po prihlásení kvôli zlyhaniam pri aplikácii trás, nastavení DNS alebo virtuálneho adaptéra. Chyby v tej fáze ukazujú na zariadenie, nie na server. Chyba, ktorá sa v logu nikdy neobjaví, je rovnako výrečná, pretože presúva podozrenie na druhú stranu.

Kontrolujte jednu vrstvu po druhej

Keď niečo zmeníte, znova sa pripojte a zopakujte presne tú aplikáciu, ktorá zlyhala. Jedna načítaná stránka dokazuje menej než opakovateľná cesta k zdrojom, pre ktoré bol profil postavený. Dva príkazy oddeľujú preklad od dostupnosti a druhý je špecifický pre hostiteľa. Spustite riadok curl kdekoľvek a potom príkaz pre trasy, ktorý zodpovedá hostiteľovi pred vami.

curl -sS -o /dev/null -w "%{http_code}" --max-time 5 https://example.com
route print -4          # Windows
ip -4 route show        # Linux
netstat -rn | head      # macOS

Ak číselný dopyt funguje a meno nie, zostaňte pri DNS. Ak nefunguje ani jedno, porovnajte tabuľku smerovania s očakávanou predvolenou trasou tunela a skontrolujte rodinu, ktorú skutočne testujete. Ak je trasa správna a dopyt stále umiera na výstupe, zvyšná otázka patrí operátorovi a dôkazy, ktoré ste si nechali, sú tiket.