VPN тврди да је повезан, али подразумевана рута је мртва

Клијент извештава да је повезан, икона у системској траци изгледа нормално, а ништа се не учитава. Почело је одмах након преласка са Wi-Fi на кабл или одмах након завршетка надоградње дистрибуције. Није се покварио профил, него стање изграђено за претходну основну везу. Језгро још увек има подразумевану руту ка тунелском уређају који нико не поседује, или резолвер још наводи сервере на вези која је нестала. Обе грешке изгледају као мртва мрежа и обе се поправљају на месту.

Застарели делови су били погрешни и пре него што сте их приметили. Искључивање кабла само их је учинило видљивим.

Питајте језгро куда ће пакет отићи

Спискови рута тешко се читају јер набрајају све што систем зна, укључујући уносе који више не важе. Претрага руте одговара на једино питање које вреди поставити: који уређај носи баш овај пакет управо сада. Ако одговор наведе тунелски уређај, језгро ће га користити иако иза њега нема живог клијентског процеса, а пакет пада у интерфејс који нико не одржава. Ако одговор наведе Ethernet адаптер, а клијент тврди да је веза активна, тунел постоји али је изгубио избор, што је уобичајен исход преласка са бежичне на жичну мрежу.

Покрените претрагу двапут, једном за јавну адресу и једном за унутрашњу, јер политика подељеног тунела може једну усмерити поштено, а другу испустити.

ip route show default
ip route get 1.1.1.1
ip route get 10.20.30.40

Резолвер такође држи мртву везу

На хосту са systemd-resolved, DNS сервери припадају везама, а не једном глобалном списку. VPN веза која је пала може неко време остати регистрована са својим серверима, и тада свака претрага чека адресу која никада неће одговорити. То кашњење се осећа као мртва мрежа и шаље људе да гледају руте док је рута исправна.

resolvectl status
resolvectl query intranet.example.com

Прочитајте блокове по везама и утврдите која веза поседује дотични домен. Тунел који је подигнут али није власник унутрашњег домена прослеђује унутрашња имена јавном резолверу, а симптом се не разликује од грешке усмеравања.

Поправите регистрацију, а не /etc/resolv.conf. У тренутним инсталацијама Ubuntua и Fedore тај пут је симболичка веза на резолверово стање у раду, па се измена или игнорише или преписује при следећем мрежном догађају.

VPN никада не почиње сам

NetworkManager подиже VPN поврх основне везе и учи коју да следи из connection.secondaries на тој основи. Референца за подешавања везе изричито наводи да аутоматско повезивање није имплементирано за VPN профиле. То је цео механизам иза ове класе кварова: промените основу и VPN мора поново да се упари или ручно активира.

nmcli device status
nmcli connection show --active
nmcli connection up office-vpn

Кад активни списак покаже основу без VPN-а, тунел уопште није активан и рута никада није ни инсталирана, а не да је остала застарела. Кад активација јави да изворна веза не постоји, основа с којом је била упарена је нестала, па прво поправите основу или упаривање и престаните поново да покушавате VPN.

Надоградња може испустити подешавања без поруке

Надоградња дистрибуције замењује клијента и често његов додатак за NetworkManager, док сачувани профил задржава називе својстава с којима је записан. Све што нови додатак више не препознаје прескаче се у тишини. Профил се још активира и уређај се још појављује, али рута која је пре долазила с њим више не долази.

Ручно написане куке такође се померају. Скрипта која је инсталирала руту у предвидљивом тренутку старог следа сада може да се изврши пре него што интерфејс постоји или након што је клијент већ истекао.

Упоредите живи профил са додатком који стварно имате, а не са понашањем којег се сећате. Ако је кључ нестао из документације, преместите посао у диспечерску скрипту или подржану замену уместо да враћате старо својство.

Три стања, три различите поправке

Одлучите у ком стању сте пре него што било шта дирнете, јер поновно покретање уништава доказе и грешка се враћа при следећој мрежној промени.

Завршите једном претрагом за јавну адресу, једном за унутрашњу адресу и једним упитом за име. Ако адресе раде, а име не, преостала грешка је опсег домена у резолверу и табела рута никада није била проблем.