VPN se poveže, a naprave v LAN niso dosegljive: kaj preveriti

Promet vstopi v tunel, prehod odgovarja na svoj naslov in nič za njim se ne odziva. Ta vzorec je pogost in ni protislovje: odgovor prehoda dokazuje, da se je tunel končal, in ne dokazuje ničesar o tem, kaj se zgodi s paketom, naslovljenim za njim. Oba testa uporabljata različne poti kode na istem stroju.

Od zdaj naprej preizkusite nekaj na drugi strani prehoda. Lastni naslov prehoda bo še naprej odgovarjal, ne glede na to, kako pokvarjeno je posredovanje.

Prehod odgovarja iz lastnega sklada

Paket, naslovljen na prehod, se dostavi na njegovo lokalno vhodno pot, kjer jedro odloči, ali ga poslušajoča vtičnica sprejme. Paket, naslovljen na gostitelja za prehodom, se namesto tega dostavi na pot posredovanja, kjer velja drug nabor preverjanj. Posredovanje je lahko popolnoma onemogočeno, ali pa ga jedro omogoči in nato pravilo filtra, ki tunela nikoli ne omeni, zavrne. Nič od tega ne vpliva na lastni odgovor prehoda, zato simptom tako zanesljivo zavaja.

Skrbniške strani, dosežene skozi tunel, spadajo prav tako v prvo kategorijo. So dokaz o tunelu, ne o omrežju za njim.

Sledite pretoku do prve meje, ki ga zavrže

Začnite pri odjemalcu in potrdite pot ter izvorni naslov, ki ju bo pretok uporabil. Nato na prehodu opazujte prihod natanko tega pretoka in znova isti pretok, ko odhaja proti LAN. Če nikoli ne prispe, je težava na strani odjemalca ali v dovoljenih predponah tunela. Če prispe in nikoli ne odide, je težava v posredovanju ali v filtru poti naprej, in zajem je že povedal, katera od obeh.

Izvajanje istega testa s prehoda skrije zanimivo polovico, ker ima paket, ki izvira s prehoda, drug izvor in drugo zahtevo po vrnitvi. Na vsakem koraku uporabite pretok odjemalca z njegovim lastnim izvornim naslovom. Zajem, posnet na napačnem vmesniku, daje samozavestne neumnosti.

Povratne poti in požarni zidovi gostiteljev odpovedo ločeno

Ko paket doseže gostitelja, morajo veljati še tri stvari. Storitev mora poslušati na naslovu, na katerega je bil paket poslan, požarni zid gostitelja ga mora sprejeti, in odgovor mora imeti pot nazaj proti bazenu odjemalcev. Zadnja pogosto odpove, ker privzeta pot gostitelja kaže na usmerjevalnik, ki ni nikoli slišal za obseg tunela. Rezultat je povezava, ki se vzpostavi z vidika gostitelja in tiho umre v drugo smer.

Povratno pot preizkusite namerno tako, da pošljete z odjemalca in opazujete vrnitev. Enosmerni zajem v sekundah razreši tisto, česar ura ugibanj ne bo.

Potrdite vsak skok z izvornim naslovom odjemalca

Izvedite preverjanja po vrsti in shranite vsak izhod, ker je vrednost v primerjavi in ne v posamezni vrstici. Ukazi spodaj pritrdijo izvorni naslov, pokažejo izbrano pot in zajamejo obe strani posredovanja. Zamenjajte svojega gostitelja LAN in vmesnik tunela.

ip route get 192.168.50.20 from 10.8.0.2
ping -I 10.8.0.2 -c 3 192.168.50.20
sudo tcpdump -ni tun0 host 192.168.50.20
sudo tcpdump -ni br0 host 192.168.50.20

Poizvedba poti pokaže, ali bi odjemalec ta paket sploh poslal v tunel, ping pa pokaže, ali se je z gostitelja kaj vrnilo. Primerjava obeh zajemov loči prihod od odhoda, ker je okvir na vmesniku tunela brez dvojnika na vmesniku LAN odločitev o posredovanju in ne okvara storitve. Ko oba zajema kažeta zahtevo in samo eden odgovor, je preostali osumljenec povratna pot.

Zapišite, kateri naslov je odgovoril in katera posredovana destinacija je odpovedala. Ta stavek naredi poročilo izvedljivo namesto trditve, da strežnik ni dosegljiv.