VPN povezan, a ena storitev ne uspe: izolirajte stopnjo

„Povezano“ je najmanj informativen podatek v VPN zahtevku. Zabeleži, da sta dve strani zaključili handshake, in nič o poizvedenem imenu, vmesniku, skozi katerega je paket odšel, njegovi velikosti ali o tem, ali ga je oddaljena stran sprejela. Zato lahko ena storitev ne uspe, medtem ko vsaka druga aplikacija na istem prenosniku deluje. Prehodite stopnje po vrsti in prva, ki ne uspe, bo poimenovala napako.

Začnite z imenom, ne s tunelom

Razrešite, preden usmerjate, ker slab odgovor naredi vsak poznejši test nesmiseln. Vprašajte za ime pri sistemskem razreševalniku in primerjajte ta odgovor z naslovom, ki ga je aplikacija dejansko uporabila. Zasebno ime, ki se vrne kot javni naslov, pomeni, da je poizvedba šla k razreševalniku, ki se z njo nima česa ukvarjati. Ime, ki se ne razreši, je ista kategorija, le glasnejša.

resolvectl query host.internal
getent hosts host.internal

Brskalniki z lastno nastavitvijo varnega DNS tu ne uspejo, medtem ko preostali sistem deluje. Zato pritožba, ki zadeva samo brskalnik, najprej spada v to stopnjo, preden se kdo dotakne poti. Primerjajte oba ukaza, ne enega, ker getent sledi poti NSS, poizvedba pri razreševalniku pa ne.

Vprašajte jedro, katero pot je izbralo

Usmerjevalna tabela je vrstni red prednosti in pot, ki jo izbere jedro, ni vedno tista s sheme. Vprašajte ga neposredno za zadevni cilj. Odgovor navede vmesnik, naslednji skok in izvorni naslov, ki bo uporabljen. Paket lahko zapusti tunel z izvornim naslovom, ki ga oddaljena stran zavrača, in bolj specifičen vnos v fizični tabeli ga lahko pošlje skozi vmesnik Wi-Fi.

ip route get 10.20.30.40
ip -brief address show

Preberite polja dev, via in src v tem vrstnem redu, ker vsako odpravi drugačen sum. Ta stopnja upravlja tudi stanje, ki ga je namestil odjemalec, ker lahko pravila požarnega zidu in poti ostanejo po nenormalnem izhodu. Zato sta „brez interneta brez tunela“ in „brez interneta, če odjemalec ne teče“ ena družina napak, ne dve.

Preizkusite velikost paketa

Majhen odgovor, ki se vrne, medtem ko se velik prenos ustavi, najprej kaže na MTU poti. Ena sonda z nastavljenim bitom do-not-fragment, poslana iz notranjosti tunela, loči to stopnjo od ostalih. Dvigujte koristni tovor, dokler sonda ne uspe, in imate število, ki šteje.

ping -M do -s 1400 10.20.30.40

Majhne sonde uspejo, medtem ko se seznam mape ali nalaganje ustavi — to je podpis te stopnje. Pritožba zveni kot prijavni podatki ali pravilo požarnega zidu, in ni ne eno ne drugo.

Število je lastnost poti, ne odjemalca, zato lahko vrednost, ki deluje na pisarniški povezavi, na mobilni povezavi ne uspe. Shranite ukaz sonde skupaj z zahtevkom, ker naslednja oseba potrebuje isto meritev. Če preide manjši tovor, je rešitev clamp ali nižji MTU tunela, ne nova šifra.

Preizkusite oddaljeno stran

Preizkusite cilj po njegovem naslovu in nato poglejte, kaj tam posluša. Zavrnjena povezava in povezava, ki nikoli ne odgovori, sta različni ugotovitvi. Prva pravi, da nekaj teče in ne streže tistim vratom, druga pa, da se ni nič vrnilo. Nobena ni privzeto težava odjemalca.

curl -sv http://10.20.30.41:8080/health
nc -vz -w 3 10.20.30.41 3389
ss -lnt 'sport = :8080'

Nič, kar je dosegljivo skozi tunel, ne more biti storitev, ki posluša samo na 127.0.0.1, ker poslušalec paketa nikoli ne vidi. Ko požarni zid oddaljenega gostitelja dovoli pisarniško podomrežje in zavrne bazen tunela, je rezultat videti kot napaka odjemalca in ni. Oddaljeni namizje ali souporaba datotek, ki se pokvari, medtem ko spletni promet preživi, običajno pristane tukaj, ne glede na to, kako uporabnik to ubesedi.

Povežite pritožbo z eno stopnjo

Večina poročil se zlije v eno od petih oblik in vsaka oblika poimenuje stopnjo. Eno spletišče, ki deluje samo skozi tunel, je odgovor imena ali politika, vezana na izvorni naslov. Posodobitve ne uspejo brez tunela, medtem ko brskanje deluje — to je težava imena ali poti za tega odjemalca.

Da se vse ustavi ob zagonu ponudnikovega odjemalca, je nameščeno stanje, torej vprašanje poti in požarnega zidu. Ena storitev nedosegljiva, medtem ko je ostalo v redu, je oddaljena stran. Prenosi se ustavijo po nekaj sekundah — to je velikost paketa. Ujemite obliko, preden zaženete ukaze, ker odloči, katere dokaze zbrati najprej.

Zapišite stopnjo, ki je povzročila prvi neuspeh, skupaj z izpisom ukaza. Zahtevek, ki pravi, da je bil izvorni naslov napačen, s priloženo vrstico poti, je vreden ukrepanja, medtem ko tisti, ki poroča o zlomljenem VPN, ni.