Cili hap NAT e humb hartëzimin joaktiv të VPN-së dhe si ta dallosh
Një rrjedhë joaktive VPN mund të vdesë në çdo hap që mban gjendje. Përsëritni një test, krahasoni çfarë pa secili kufi dhe raportoni rezultatin e kufizuar në vend të një fajtori të hamendësuar.
Pas një periudhe të qetë tuneli rilidhet, asnjë regjistër nuk emërton fajtor, dhe lëvizja e dukshme është të zgjidhet pajisja me dokumentacionin më mbresëlënës të afatit kohor. Ky është një hamendësim i veshur si diagnozë. Gjendja mund të mbijetojë për një kohë në një router shtëpiak, në një përkthyes të operatorit dhe në skajin e një reje, dhe secili prej tyre mund të hedhë një rrjedhë që hesht. Në vend të kësaj mund të hartoni shtegun, të shënoni cilat pajisje vërtet mund të vëzhgoni dhe të kryeni një test joaktiv që mund ta përsërisni.
Një test i përsëritshëm e kthen një anekdotë në matje. Gjithçka më poshtë supozon një klient, një server dhe një protokoll, dhe supozon se i rezistoni ndryshimit të dy variablave njëherësh. Qëllimi është ta bësh rastin tjetër më të lirë se ky.
Kryeni të njëjtin test joaktiv çdo herë
Shkruani kur rrjedha ishte për herë të fundit në rregull, sa kohë qëndroi joaktive pas kësaj dhe nëse një paketë e freskët e solli atë mbrapsht. Këto tre fakte janë matja; pa to keni vetëm një histori për një laptop që ra. Përdorni të njëjtin klient, të njëjtin server dhe të njëjtin protokoll në çdo përsëritje dhe shënoni momentin kur u dërgua paketa e parë pas heshtjes.
Më pas krahasoni çfarë pa vërtet secili kufi që zotëroni. Dallimi që vendos hetimin është nëse serveri nuk pa asgjë fare pas pauzës, apo e pa kërkesën dhe u përgjigj në një shteg që nuk i mbante më përgjigjet.
| What you observe | What it suggests | What it does not prove |
|---|---|---|
| server records no packet after the pause | state was lost upstream of the server | which hop dropped it |
| server answers, client never receives | return-path state or filtering | that the timer belongs to the client |
| client sends nothing at all | client-side timer or application behaviour | that the network path is healthy |
Krahasimi i shtegjeve pa ndryshuar pesë gjëra
Një rrjet i dytë aksesi i miratuar është një krahasim i ligjshëm, sepse zinxhiri NAT është i ndryshëm. Ai ndryshon edhe në ofrues, kushtet e radios dhe ndoshta në familjen e adresave, prandaj rezultati është një kufi dhe jo një atribuim. Regjistroni kufizimet bashkë me rezultatin në vend që t’i hidhni në heshtje kur raportoni. Shkruani edhe shtegun: pajisja, roli dhe nëse gjendja e saj mund të lexohet fare.
Ajo që ju blen një krahasim shtegjesh është një pyetje e kufizuar: rrjedha mbijeton në njërin dhe vdes në tjetrin pas një heshtjeje të ngjashme, kështu që variabla ndodhet diku në pjesët që ndryshojnë. Ky është një rezultat i vërtetë edhe kur nuk emërtohet asnjë pajisje, dhe i tregon inxhinierit të ardhshëm ku të kalojë një pasdite dhe ku jo.
Gjendja lokale ia vlen të lexohet para se të spekuloni për operatorët. Në një portë Linux, conntrack -L liston rrjedhat e gjurmuara me jetën e tyre të mbetur, gjë që e kthen një hamendësim për një kohëmatës në një numër që mund ta shihni duke skaduar. Lexojeni para dhe pas periudhës joaktive, jo vetëm pas.
Çfarë do të mbajë një sinjal gjallërie dhe çfarë jo
Një sinjal gjallërie i mbështetur mban hapur një hartëzim, dhe mbajtja hapur e një hartëzimi nuk provon asgjë për shërbimin pas tij. Tuneli mund të mbetet i hartëzuar ndërsa aplikacioni që ai mbart ka ndaluar së përgjigjuri, dhe nga një dritë gjendjeje këto dy situata duken njësoj. Trajtojeni sinjalin e gjallërisë si sigurim kundër skadimit nga joaktiviteti, jo si kontroll shëndeti.
Vendosni intervalin sipas afatit më të shkurtër që keni matur vërtet, jo sipas një numri të kopjuar nga një forum. Një sinjal gjallërie i rregulluar nën çdo kohëmatës të mundshëm është trafik që askush nuk e kishte nevojë, dhe gjithashtu heq simptomën që do t’ju kishte thënë cili kufi skadon i pari. Zgjidhni intervalin nga numri i matur dhe lini gjithçka tjetër në paqe.
Një ndryshim, më pas matni përsëri
Rezistoni shtysës për të ngritur çdo afat dhe për të pastruar çdo portë gjatë një testi të drejtpërdrejtë. Kjo fshin provat për të cilat keni ardhur dhe ndërpret rrjedha të njerëzve të tjerë, gjë që është një shkëmbim i keq për një hipotezë të paprovuar. Ndryshoni një cilësim të mbështetur në një pajisje, më pas përsëritni periudhën joaktive dhe rikuperimin e aplikacionit.
Regjistroni cili vëzhgim kufiri lëvizi, dhe regjistrojeni edhe kur asgjë nuk u përmirësua. Një cilësim që nuk rregulloi asgjë është informacion, dhe është më lirë ta vësh re një herë sesa ta rrotullosh nëpër gjithë pronën.
Të shkruash një gjetje që mund ta mbrosh
Kur një përkthyes më lart nuk mund të inspektohet, thoni vetëm atë që provat mbështesin: shkëmbimi vdes diku përgjatë këtij segmenti të shtegut pas kaq heshtjeje, dhe hapi përgjegjës mbetet i paatribuar. Një deklaratë e kufizuar i reziston rishikimit dhe e drejton personin tjetër te segmenti i saktë. Emërtimi i një routeri të fshehur si shkak nuk bën asnjërën nga të dyja. Gjetjen e kufizuar ia jepni atij që zotëron segmentin e pavëzhgueshëm, me intervalin bashkangjitur.
RFC 4787 përshkruan pse kohëmatësit e hartëzimit UDP janë të vështirë të nxirren nga një skaj, dhe pikërisht kjo vështirësi e bën gjetjen e kufizuar të ndershme. Kohëmatësit janë të vërtetë, dhe pasiguria rreth tyre gjithashtu.