VPN pripojené, ale jedna služba zlyháva: izolujte fázu

Dokončený handshake nehovorí nič o mene, trase, veľkosti paketu ani o poslucháčovi. Prejdite štyri fázy a nechajte prvý výpadok pomenovať poruchu.

„Pripojené“ je najmenej informatívny údaj vo VPN tikete. Zaznamenáva, že dva uzly dokončili handshake, a nič o pýtanom mene, rozhraní, ktorým paket odišiel, jeho veľkosti ani o tom, či ho vzdialená strana prijala. Preto môže jedna služba zlyhať, zatiaľ čo každá ďalšia aplikácia na tom istom notebooku funguje. Prejdite fázy po poradí a prvá zlyhávajúca fáza pomenuje poruchu.

Začnite menom, nie tunelom

Vyriešte skôr, než budete routovať, pretože zlá odpoveď robí každý ďalší test bezvýznamným. Opýtajte sa na meno systémovým resolverom a porovnajte tú odpoveď s adresou, ktorú aplikácia skutočne použila. Súkromné meno, ktoré sa vráti ako verejná adresa, znamená, že dopyt išiel resolveru, ktorý naň nemá čo odpovedať. Meno, ktoré sa nevyrieši, je tá istá kategória, len hlasnejšie.

resolvectl query host.internal
getent hosts host.internal

Prehliadače s vlastným nastavením zabezpečeného DNS tu zlyhávajú, zatiaľ čo zvyšok systému funguje. Preto sťažnosť týkajúca sa len prehliadača patrí najprv do tejto fázy, skôr než ktokoľvek siahne na trasu. Porovnajte oba príkazy, nie jeden, pretože getent ide cestou NSS a dopyt na resolver nie.

Opýtajte sa jadra, ktorú cestu si vybralo

Smerovacia tabuľka je poradie preferencií a cesta, ktorú jadro vyberie, nie je vždy tá z diagramu. Opýtajte sa ho priamo na dané cieľové miesto. Odpoveď pomenuje rozhranie, ďalší skok a zdrojovú adresu, ktorá sa použije. Paket môže tunelom odísť so zdrojovou adresou, ktorú vzdialená strana odmieta, a konkrétnejší záznam vo fyzickej tabuľke ho môže poslať von cez rozhranie Wi-Fi.

ip route get 10.20.30.40
ip -brief address show

Čítajte polia dev, via a src v tomto poradí, pretože každé odstraňuje iné podozrenie. Táto fáza vlastní aj stav, ktorý klient nainštaloval, pretože pravidlá firewallu a trasy môžu po abnormálnom ukončení zostať. Preto „bez internetu bez tunela“ a „bez internetu, kým klient nebeží“ sú jedna rodina porúch, nie dve.

Otestujte veľkosť paketu

Malá odpoveď, ktorá sa vráti, zatiaľ čo veľký prenos zamrzne, ukazuje najprv na MTU cesty. Jedna sonda s nastaveným bitom do-not-fragment, odoslaná zvnútra tunela, oddelí túto fázu od ostatných. Zvyšujte užitočné zaťaženie, kým sonda nezlyhá, a máte číslo, na ktorom záleží.

ping -M do -s 1400 10.20.30.40

Malé sondy prechádzajú, zatiaľ čo výpis adresára alebo nahrávanie visí — to je podpis tejto fázy. Sťažnosť znie ako prihlasovacie údaje alebo pravidlo firewallu, a nie je ani jedno.

Číslo je vlastnosť cesty, nie klienta, takže hodnota, ktorá funguje na kancelárskom pripojení, môže na mobilnom spoji zlyhať. Uchovajte sondu pri tikete, pretože ďalší človek potrebuje rovnaké meranie. Ak prejde menšie zaťaženie, riešením je clamp alebo nižšie MTU tunela, nie nová šifra.

Otestujte vzdialenú stranu

Otestujte cieľ podľa jeho adresy a potom sa pozrite, čo tam počúva. Odmietnuté spojenie a spojenie, ktoré nikdy neodpovie, sú rôzne zistenia. Prvé hovorí, že niečo beží a neobsluhuje ten port, druhé, že sa nič nevrátilo. Ani jedno nie je v predvolenom nastavení problémom klienta.

curl -sv http://10.20.30.41:8080/health
nc -vz -w 3 10.20.30.41 3389
ss -lnt 'sport = :8080'

Nič dosiahnuteľné tunelom nemôže byť služba, ktorá počúva len na 127.0.0.1, pretože poslucháč paket nikdy nevidí. Keď firewall vzdialeného hostiteľa povolí kancelársku podsiet a odmietne pool tunela, výsledok vyzerá ako porucha klienta a nie je. Vzdialená plocha alebo zdieľanie súborov, ktoré sa pokazia, zatiaľ čo webová premávka prežíva, zvyčajne skončia tu, nech to používateľ sformuluje akokoľvek.

Priraďte sťažnosť jednej fáze

Väčšina hlásení spadá do jedného z piatich tvarov a každý tvar pomenuje fázu. Jedna stránka, ktorá funguje len tunelom, je odpoveď mena alebo politika viazaná na zdrojovú adresu. Aktualizácie zlyhávajú bez tunela, zatiaľ čo prehliadanie funguje — to je problém mena alebo trasy pre toho klienta.

To, že všetko zastane pri štarte klienta poskytovateľa, je nainštalovaný stav, teda otázka trasy a firewallu. Jedna služba nedostupná, zatiaľ čo zvyšok je v poriadku, je vzdialená strana. Prenosy zaseknuté po niekoľkých sekundách sú veľkosť paketu. Priraďte tvar skôr, než spustíte príkazy, pretože rozhoduje, ktoré dôkazy zbierať najprv.

Zaznamenajte fázu, ktorá dala prvý výpadok, spolu s výstupom príkazu. Tiket, ktorý hovorí, že zdrojová adresa bola nesprávna, s priloženým riadkom trasy, stojí za akciu, zatiaľ čo ten, ktorý hlási rozbité VPN, nie.

Súvisiace články