VPN hlási pripojené, ale nič sa nesmeruje: dve miesta, kam sa pozrieť

Tunel môže hlásiť pripojenie, zatiaľ čo sa k nemu nič nedostane, a tieto dve fakty bývajú na rôznych miestach. Jedno je smerovacia tabuľka, ktorá stále môže posielať pakety zariadeniu, ktoré nikto nevlastní. Druhé je resolver, ktorý stále môže uvádzať server na rozhraní, ktoré už zmizlo. Zmena siete profil nepoškodila, osirela stav patriaci predchádzajúcemu pripojeniu, a oprava závisí od toho, na ktoré z tých dvoch sa skutočne pozeráte.

Najprv sa opýtajte jadra, ktoré zariadenie by použilo

Výpis trás ukazuje, čo existuje; vyhľadanie trasy ukazuje, čo by sa stalo. Opýtajte sa na verejnú adresu a prečítajte v odpovedi názov zariadenia, pretože to jedno pole rozhoduje, či paket dorazí niekam užitočne. Keď odpoveď vymenuje tunelové zariadenie, jadro mu pakety odovzdá, aj keď za týmto rozhraním už nebeží žiadny klientsky proces. Keď odpoveď vymenuje fyzický adaptér, zatiaľ čo klient tvrdí, že je pripojený, tunel je hore a len nie je zvolenou cestou.

Druhý prípad je obvyklý po tom, čo kábel nahradí bezdrôt, a prejavuje sa ako rozbitá VPN.

ip route show default
ip route get 203.0.113.9

Ďalej čítajte predvolené záznamy, pretože trasa pridaná predchádzajúcim základným pripojením môže prežiť zmenu rozhrania a stáť pred tou novou. Predvolená trasa cez zariadenie, ktoré je mimo prevádzky, je horšia ako žiadna predvolená trasa, pretože jadro jej stále dáva prednosť. Všimnite si metriku pri každom zázname, pretože toto poradie vysvetlí preferenciu rýchlejšie než názvy rozhraní.

Potom čítajte resolver pre každé rozhranie, nie pre súbor

Preklad názvov nesie vlastný stav a vlastnú zastaranosť. Resolver, ktorý vypisuje servery DNS po rozhraniach, drží servery tunelového rozhrania, ktoré je mimo prevádzky, ale stále registrované, a každý dotaz potom čaká na server, ktorý neodpovie. Prejavom je sieť, ktorá pôsobí mŕtvo, zatiaľ čo smerovacia tabuľka vyzerá dokonale.

Skúmajte stav po rozhraniach, nie súbor, pretože v mnohých distribúciách je ten súbor symbolický odkaz do resolvera a jeho úprava buď nič nerobí, alebo je rýchlo prepísaná. Pozrite sa, ktoré rozhranie vlastní ktoré servery a ktorú vyhľadávaciu doménu, a potom sa opýtajte, či by tunelové rozhranie vôbec ešte malo byť registrované. Ak nie, deaktivujte pripojenie, ktoré ho vlastní, namiesto ručnej úpravy generovaného stavu. Názov, ktorý sa preloží, zatiaľ čo vyhľadanie trasy posiela pakety inam, je tretia a samostatná porucha.

resolvectl status
resolvectl query app.internal.example

Ak sa adresy prekladajú a pripojenia zlyhávajú, resolver je v poriadku a trasa nie. Ak sa adresy vôbec neprekladajú, je to správne miesto, kde začať.

Ako zastaraná trasa prežije zmenu

Klient nevlastní sieť sám. Na hostiteľovi s NetworkManagerom sa profil VPN aktivuje nad základným pripojením a nastavenia pripojenia dovoľujú tejto základni pomenovať VPN, ktorá ju má nasledovať. Keď sa základňa zmení, pretože sa uprednostní iný profil, tunel sa presunie na novú základňu alebo zostane bez žiadnej.

Profil VPN sa sám nenahodí, takže spárovanie znamená oveľa viac než vlastná predvoľba automatického pripojenia profilu.

Prečítajte zoznam aktívnych a poznamenajte si, ktorá základňa je hore, skôr než sa tunela dotknete. Ak je základňa v zozname a tunel nie, trasa chýba, nie je zastaraná, a opravou je aktivácia. Ak aktivácia tunela hlási, že neexistuje zdrojové pripojenie, základňa, s ktorou bol spárovaný, zmizla, takže ju najprv nahodiť alebo opraviť spárovanie, namiesto toho aby ste tunel skúšali znova. Opakovanie profilu, ktorého rodič chýba, dáva zakaždým rovnakú chybu, čo je užitočný signál a nie obťaž.

nmcli device status
nmcli connection show --active
nmcli connection up office-vpn

Odlište zastaraný stav od chýbajúceho rodiča

Tri stavy vysvetľujú takmer každé hlásenie a každý potrebuje inú opravu. Predvolená trasa cez zariadenie, ktoré ešte existuje, ale už nenesie tunel, je zastaraný stav, odstránený buď zmazaním záznamu, alebo reštartom zodpovedného profilu. Tunelové zariadenie, ktorého klientsky proces zmizol, je zlyhanie upratovania, takže pozornosť si zaslúži cesta odpojenia, nie smerovacia tabuľka. Žiadne tunelové zariadenie znamená, že chýba rodič alebo spárovanie a smerovacia tabuľka nebola nikdy v hre.

Reštart skryje, ktorý z troch ste mali, a práve preto pôsobí ako oprava.

Po oprave sa opýtajte jadra na jednu verejnú a jednu internú adresu a potom sa opýtajte na interný názov. Keď adresa funguje a názov nie, našli ste problém rozsahu domény v resolveru, a nie problém smerovania. Zapíšte, ktorý stav ste našli, pretože ďalšia zmena siete zopakuje ten, ktorý ste nechali byť.