Javni seznam VPN pravi povezan; tvoj odjemalec pravi ne

Odpreš imenik, razvrstiš po hitrosti, izbereš vozlišče, označeno kot povezano, in odjemalec obupa, preden dokonča povezavo. Seznam ni lagal, natančno rečeno. Poročal je o rezultatu tujega preverjanja, iz drugega omrežja, v prejšnjem trenutku, proti storitvi, ki jo prostovoljec lahko kadar koli izklopi. Razumevanje te vrzeli spremeni mučno iskanje v kratko zaporedje preverjanj, ki jih lahko izvedeš na katerem koli kandidatu.

Kaj je seznam dejansko izmeril

Javni imenik hrani polja, kot so čas zadnjega preverjanja, izmerjena vrednost povratnega časa, število sej in včasih seznam protokolov. Vsako od njih opisuje zadnje uspešno opazovanje z vidika samega projekta, ne stanja vozlišča, ko prispe tvoj paket.

Svežina je pomembnejša od števila. Vozlišče, preverjeno pred štirimi minutami, in vozlišče, preverjeno pred štirimi urami, lahko prikazujeta isto zeleno oznako, in le eno od njiju je še podobno zabeleženemu stanju. Išči časovni žig, ne barve.

Prostovoljno delovanje doda drugi vir sprememb, ki ga noben nadzornik ne more popraviti. Upravljavec morda znova zažene prenosnik, mu zmanjka pasovne širine, zamenja ponudnika ali preprosto zapre pokrov. Vnos na seznamu je kandidat, in obravnavati ga kot dogovor o ravni storitve je kategorijska napaka.

Opazuj faze odjemalca, ne vrtavke

Vsak odjemalec VPN preide isto široko zaporedje: razreši ime, odpri transportno povezavo, dogovori varnost, overi identiteto, nato nastavi predor in prenašaj podatke. Napaka v vsaki fazi pusti drugačne dokaze, vrtavka pa ne pokaže nobenega od njih.

Začni z razreševanjem imena. Če se ime gostitelja ne razreši, ni bilo preverjeno nič o razpoložljivosti vozlišča, ker povezava nikoli ni zapustila tvojega računalnika. Nato transport: zavrnjena ali časovno potekla izmenjava TCP ali UDP ti pove, da končna točka ne odgovarja na tistih vratih, kar je resnična ugotovitev o vozlišču. Potem pogajanja in overjanje, kjer neveljaven certifikat, potekel profil ali neujemajoča se šifra odpovejo, medtem ko je vozlišče popolnoma zdravo. Šele po nastavitvi predora lahko napaka usmerjanja ali DNS pojasni zadnji korak.

Preberi dnevnik odjemalca z najvišjo podrobnostjo, ki še gre na zaslon, in zapiši zadnjo uspešno vrstico. Na tej vrstici se začne diagnoza in običajno je bolj poučna od vsega, kar prikazuje imenik.

Ena spremenljivka na poskus

Primerjaj kandidate z istim odjemalcem, istim dostopovnim omrežjem in isto obliko profila, spreminjaj samo končno točko. Sicer je lahko napaka tvoja in jo boš pripisal vozlišču.

Dva poskusa zadoščata za ugotovitev vzorca, tretji pa ga potrdi. Če vozlišče A odpove v fazi transporta in vozlišče B pri overjanju, imaš dva nepovezana problema, ne enega zastarelega seznama.

Ko vsako vozlišče odpove na enak način

Univerzalna napaka v prvi fazi kaže na tvojo stran: razreševalnik, ki ne more odgovoriti, lokalni požarni zid, ki blokira protokol, ali omrežje, ki dovoljuje le spletni promet. Imenik tega ne more sporočiti, ker njegova preverjanja ne tečejo s tvojega mesta.

Namerno preizkusi primer oblikovanega omrežja. Nekatera dostopovna omrežja dovolijo HTTPS do spleta in zavržejo druge protokole, zaradi česar je vsak kandidat videti mrtev, medtem ko je seznam točen. Primerjava nalaganja strani v brskalniku s surovim poskusom povezave loči ti dve stanji v manj kot minuti.

Preberi napako v fazi, v kateri se je zgodila

Ponovi poskus iz terminala, da bodo faze vidne. Trije ukazi spodaj razrešijo ime, preverijo, ali vrata odgovarjajo, in natisnejo vrstice pogajanj iz profila OpenVPN:

dig +short node.example.net
curl -s --max-time 5 telnet://node.example.net:443
openvpn --config node.ovpn --verb 4 2>&1 | grep -iE "TLS|AUTH|PUSH"

Če vrata odgovarjajo in vrstica pogajanj poroča o težavi s certifikatom, vozlišče deluje, tvoj profil pa je zastarel. Če vrata sploh ne odgovarjajo, je vnos kandidat, ki je odpovedal, in prehod na naslednjega je pravi odziv namesto odpravljanja napak v odjemalcu. Zapiši fazo v kratko vrstico in naslednji poskus se začne z znanjem, ne z upanjem.