Prečo môže VPN vyzerať pripojené, keď nič nefunguje

Váš klient hlási pripojené, rozhranie je hore a prehliadač vyprší, a žiadne z tých troch tvrdení nie je nepravdivé. Pripojené opisuje vrstvu, ktorá nemá nič spoločné so stránkou, ktorú ste si vyžiadali. Rozhodnúť, ktorá vrstva hlási, vyžaduje jednu novú požiadavku a jeden pohľad na počítadlo, ktoré by dokázalo, že prevádzka sa pohla. Reštart túto evidenciu zahodí a znovu vytvorí podmienky, ktoré ste sa snažili pozorovať.

Tri rôzne veci nazývané pripojené

Dole môže pripojené znamenať, že proces klienta beží a drží soket k partnerovi. Vyššie to môže znamenať, že existuje rozhranie s adresou, ktoré trvalé zariadenie alebo rutina obnovy môžu vytvoriť bez živej relácie za ním. Na riadiacej úrovni to môže znamenať, že bola vyjednaná asociácia, čo nič nehovorí o tom, či pod ňou prešiel čo i len jeden paket. Každá z nich prežíva zlyhania, ktoré ostatné neprežívajú, a klient zvyčajne zobrazuje najsilnejšiu, na ktorú sa môže odvolávať.

Zelená ikona a mŕtvy tunel sú teda zlučiteľné, nie protichodné; hlásia o rôznych objektoch. To je celý dôvod, prečo je táto porucha stále znovu nesprávne diagnostikovaná ako chyba klienta.

Pošlite jednu neškodnú požiadavku na cieľ, ktorý skutočne potrebujete, skôr než sa dotknete démona, a počas práce nechajte požadovaný blok priamej prevádzky na mieste. Reštart vymaže poradie udalostí a potom ich znovu vytvorí dostatočne blízko, aby skryl príčinu, a preto sa ten istý tiket vráti o týždeň bez ničoho nového. Jedna požiadavka, jedno odčítanie počítadla a spúšťač, ktorý poruchu vyvolal, sú minimálny dôkaz.

Ktoré počítadlo dokazuje, že pakety sa pohli

V IPsec sú asociácia IKE a asociácia CHILD samostatné objekty a iba child nesie počítadlá, ktoré na túto otázku odpovedajú. Vypíšte child, sledujte, či pakety rastú v oboch smeroch, a porovnajte to s tým, čo sa aplikácia snaží robiť. Nainštalovaná asociácia na nule je iné zistenie ako tá, ktorá rastie, kým aplikácia stále zlyháva; prvá znamená, že prevádzka nie je vyberaná, druhá, že sa pohybuje a porucha je ďalej. Prečítajte počítadlá dvakrát, niekoľko sekúnd od seba, pretože jedna vzorka nemôže ukázať trend.

swanctl --list-sas
ip xfrm state list
ip -s link show dev tun0

Nulové počítadlá ukazujú na výber: smerovanie, politiku, priestor názvov, z ktorého paket vyšiel, alebo rozhranie, na ktoré sa klient nikdy nepripútal. Rastúce počítadlá ukazujú preč od tunela, preto pokračujte preposielaním na vzdialenej strane, prekladom názvov, spiatočnou cestou a cieľovou službou, v tomto poradí. Protokol bez samostatného objektu child vystavuje rovnaký dôkaz vo svojich vlastných pojmoch, preto použite to, čo hlási o stave partnera a počte paketov, namiesto požičiavania slovnej zásoby IPsec. Tvar odčítania je dôležitejší než nástroj, ktorý ho vytvoril.

Kde porucha sedí po tom, čo sa počítadlá pohnú

Brána, ktorá odpovedá na vlastnej adrese správy, dokazuje, že brána beží, nie že niečo za ňou obsluhuje vašu požiadavku, preto testujte vzdialenú stranu a nie krabicu v strede. Preklad názvov skrýva poruchy najlepšie, pretože resolver, ktorý nie je cez tunel dostupný, vyprší rovnako ako mŕtve spojenie. Dve vyhľadania tieto prípady oddeľujú a obe sú lacné. Najprv sa spýtajte resolvera, ktorý tunel pretláča, potom sa spýtajte verejného resolvera na ten istý názov.

dig +short host.example
dig +short @10.20.0.1 host.example
ping -c 2 10.20.0.25

Názov, ktorý sa preloží cez verejný resolver, ale nie cez tunelový, znamená, že cesta DNS je prerušená, zatiaľ čo názov, ktorý sa preloží cez oba a v prehliadači stále vyprší, ukazuje na spiatočnú cestu alebo na službu. Ak ping na adresu uspeje a aplikácia napriek tomu odmieta, sieť požiadavku doručila a služba ju odmietla, čo je úplne neskoršia fáza.

Zaznamenajte spúšťač, potom zmeňte jednu vec

Zaznamenajte, čo poruche predchádzalo: obdobie nečinnosti, zmenu siete, obnovu kľúča, prebudený notebook alebo obnovený systém. Tieto vytvárajú rôzne mechanizmy a zvyčajne sa sám opraví iba obnovený systém, čo je presne ten prípad, ktorý vás nič nenaučí. Reštart odstraňuje poradie udalostí a potom znovu vytvára podmienky dostatočne blízko, aby skryl príčinu. Zapíšte spúšťač, kým je ešte reprodukovateľný.

Potom vykonajte jednu podloženú opravu a zopakujte pôvodnú požiadavku spolu so spúšťačom, ktorý poruchu vyvolal. Nečinnosť je najľahšie reprodukovateľný spúšťač, preto je najrýchlejším potvrdením, že oprava riešila mechanizmus a nie symptóm.

To, čo chcete nahlásiť, je dôkaz, že prevádzka, ktorú ste chceli odoslať, dorazila do služby, do ktorej ste chceli doraziť. Ikona, ktorá zo zelena, stránka z vyrovnávacej pamäte, ktorá sa načíta, a počítadlo, ktoré sa pohne, všetky dokazujú menej než jedna dokončená požiadavka na zamýšľaný cieľ. Držte požiadavku, odčítanie počítadla a spúšťač spolu, aby ďalší človek rozoznal opravu od náhody.