Časovna omejitev povezave VPN: DNS, promet, pogajanje ali prijava
Časovna omejitev pomeni le, da je rok potekel. Primerjajte štiri korake, razrešitev imena, promet, pogajanje in prijavo, da vidite, kateri se je končal zadnji.
„Povezava je potekla“ je najmanj natančna napaka, ki jo lahko izpiše odjemalec VPN. Pomeni, da je ena operacija zgrešila svoj rok, in vsak korak od razrešitve imena do odgovora pri prijavi ima rok. Odjemalci, ki prikazujejo le končno sporočilo, naredijo korake videti enake, zato ljudje povišajo omejitev, spremenijo vrata in znova namestijo profil, v tem vrstnem redu, ne da bi se česa naučili. Primerjanje korakov je hitrejše: vsak odpove na drugem mestu in vsaka napaka pusti drugačno vrsto dokaza.
Štirje koraki, štiri različne napake
Zaporedje je fiksno tudi ko ga odjemalec skriva: ime je treba razrešiti, do nastalega naslova je treba vzpostaviti promet, protokol se mora pogajati o svojih parametrih in ključih, račun pa mora biti overjen. Vodnik OpenVPN za odpravljanje težav s povezljivostjo pri lastnem odjemalcu sledi istemu vrstnemu redu, ostali pa mu tesno sledijo. Časovna omejitev v drugem koraku in v četrtem nimata nič skupnega razen besede na zaslonu.
| Stage | Looks like | What it does not prove |
|---|---|---|
| Name resolution | fails in under a second, before any contact | nothing about the server being up |
| Transport | waits the full timeout, then gives up | nothing about the VPN service behind the port |
| Negotiation | connects, then stalls at handshake | nothing about credentials |
| Login | a reply arrives and is rejected or hangs on a prompt | nothing about reachability |
V dnevniku poiščite zadnjo vrstico, ki kaže napredek, ne zadnje vrstice pred napako. Večina odjemalcev izpiše nekaj kot razrešen naslov, vzpostavljen vtič, začet rokovanje ali zahtevo za overitev, in korak, ki sledi tej vrstici, je tisti, ki je potekel.
Razrešitev imena odpove pred kakršnim koli stikom
Če se končna točka nikoli ne razreši, odjemalec nima s čim vzpostaviti stika in nobeno prometno delo se ni zgodilo. Ta napaka je običajno takojšnja in ne polna časovna omejitev, kar je najcenejši način, da jo ločite od ostalih. Preizkusite ime s sistemskim razreševalnikom in z drugim razreševalnikom ter primerjajte oba odgovora, preden sklepate, da strežnik ne deluje.
Star naslov, kopiran s foruma, je pogost vzrok časovne omejitve, ki je videti kot težava strežnika, ker naslov zdaj pripada nečemu drugemu ali ničemur. Uporabite trenutni profil ponudnika, namesto da bi nadomestili naslov, ki je prej deloval. Manjkajoč odgovor na ping ni dokaz v nobeno smer: veliko končnih točk zavrže ICMP in obenem povsem dobro služi.
Nastavitev prometa čaka na paket, ki ne bo prišel
Ko je DNS v redu in odjemalec vseeno pokuri celotno omejitev, je sumljiv prometni sloj. Na TCP lahko vrata preizkusite neposredno; Test-NetConnection v Windows ali nc -vz v Linuxu vam pove, ali kaj sprejema povezavo, in to je koristneje od pinga. Na UDP tega ne morete preizkusiti na enak način, ker v tem sloju ni rokovanja, ki bi ga bilo treba dokončati, in ta asimetrija povzroča veliko napačnih sklepov.
Kar dokaže preskus TCP, je omejeno: storitev, ki sprejema vrata 443, ni nujno poslušalec VPN, končna točka samo z UDP pa nima vrat TCP, da bi kaj sprejela. Prepisovanje profila z UDP na TCP ne ustvari poslušalca na drugi strani; spremeni le, na kaj čaka vaš odjemalec. Če omrežje filtrira protokol, sprememba ustvari drugačno časovno omejitev v istem koraku.
Captive portali si na tej stopnji zaslužijo lastno preverjanje. Dokler portal ne pooblasti naprave, odhodni promet gre na portal in poskus tunela preprosto visi. Najprej dokončajte portal v brskalniku, nato poskusite znova, in ne spreminjajte profila, dokler je portal še v teku.
Pogajanje in prijava pomenita, da je strežnik odgovoril
Ko tunel doseže strežnik, odjemalec začne rokovanje in napaka spremeni značaj. Ustavitev tukaj je stvar združljivosti, ne dosegljivosti: neujemajoče se različice protokola, nastavitev šifriranja ali podatkovnega kanala, ki je druga stran ne bo sprejela, ali profil, ki pričakuje funkcijo, ki je strežnik ne ponuja. OpenVPN je svoje privzete nastavitve pogajanj med glavnimi različicami premaknil dovolj pogosto, da profil, napisan za eno generacijo, lahko doseže strežnik in se vseeno ne dvigne.
Overjanje je zadnji korak in ga je najlažje napačno prebrati. Izrecna zavrnitev je odgovor, kar pomeni, da pot deluje in je težava v identiteti, potrdilu ali stanju računa. Tok enotne prijave prek brskalnika je tretji primer: odjemalec čaka na dejanje, ki ga niste izvedli, ali na brskalnik, ki ga ne more zagnati, in nič ne bo prišlo, dokler tega koraka ne dokončate.
Primerjajte dokaze, preden spremenite ponovni poskus
Napravo in profil držite fiksno in spreminjajte eno stvar naenkrat, začenši z omrežjem. Če se isti profil poveže prek telefonske dostopne točke in poteče v hotelskem Wi-Fi, je spremenljivka pot, ne strežnik. Če odpove povsod, je spremenljivka profil ali končna točka. Če odpove le ob določeni uri, zabeležite časovni žig in ga primerjajte z dogodki na strani strežnika, preden karkoli domnevate o obremenitvi.
Za storitev, ki jo upravljate, je odločilna primerjava, ali poskus sploh prispe. Povezava, ki doseže poslušalca in se nato ustavi, spada v korak pogajanj; tista, ki se nikoli ne pojavi v vidnem polju poslušalca, je težava prometa ali razreševanja, in nobeno prilagajanje ponovnih poskusov je ne bo premaknilo. Dnevniki strežnika tudi ločijo zavrnjeno prijavo od tihega izpusta, kar je razlika med popravkom identitete in popravkom požarnega zidu.
Zabeležite različico odjemalca, ime profila, čas poskusa z njegovim časovnim pasom in prvo uporabno napako namesto zadnje vrstice o prekinitvi. Preden delite izvleček, odstranite ključe in gradivo s poverilnicami. Nato naredite eno smiselno popravek in poskusite znova, ker daljši rok pomaga le dokumentirani počasni operaciji in ne naredi ničesar za napačen naslov ali blokirana vrata.