VPN је повезан, али једна услуга не ради: изолујте фазу

„Повезано“ је најмање информативна чињеница у VPN тикету. Бележи да су две стране завршиле руковање и ништа о имену које је тражено, интерфејсу кроз који је пакет отишао, његовој величини или томе да ли га је далека страна прихватила. Зато једна услуга може да откаже док свака друга апликација на истом лаптопу ради. Прођите фазе по реду и прва која откаже именоваће квар.

Почните са именом, не са тунелом

Решите пре него што рутирате, јер лош одговор чини сваки каснији тест бесмисленим. Питајте име преко системског резолвера и упоредите тај одговор са адресом коју је апликација стварно користила. Приватно име које се враћа као јавна адреса значи да је упит отишао резолверу који нема шта да одговори. Име које се не разрешава је иста категорија, само гласније.

resolvectl query host.internal
getent hosts host.internal

Прегледачи са сопственим подешавањем безбедног DNS-а овде отказују док остатак система ради. Зато притужба која се тиче само прегледача прво припада овој фази, пре него што било ко дотакне руту. Упоредите обе команде, а не једну, јер getent иде путем NSS, а упит резолверу не.

Питајте кернел који је пут изабрао

Табела рутирања је редослед предности, а пут који кернел изабере није увек онај са дијаграма. Питајте га директно за дато одредиште. Одговор именује интерфејс, следећи хоп и изворну адресу која ће се користити. Пакет може да изађе кроз тунел носећи изворну адресу коју далека страна одбија, а конкретнији унос у физичкој табели може да га пошаље кроз Wi-Fi интерфејс.

ip route get 10.20.30.40
ip -brief address show

Читајте поља dev, via и src тим редом, јер свако уклања другачију сумњу. Ова фаза поседује и стање које је клијент инсталирао, јер правила заштитног зида и руте могу да остану после ненормалног изласка. Зато су „нема интернета без тунела“ и „нема интернета ако клијент не ради“ једна породица кварова, а не две.

Тестирајте величину пакета

Мали одговор који се врати док велики пренос стане прво указује на MTU пута. Једна сонда са постављеним do-not-fragment битом, послата из унутрашњости тунела, одваја ову фазу од осталих. Повећавајте корисни терет док сонда не откаже и имате број који је важан.

ping -M do -s 1400 10.20.30.40

Мале сонде пролазе док листање директоријума или отпремање виси — то је потпис ове фазе. Притужба звучи као акредитиви или правило заштитног зида, а није ни једно.

Број је својство пута, а не клијента, па вредност која ради на канцеларијској вези може да откаже на мобилној вези. Чувајте команду сонде уз тикет, јер следећој особи треба исто мерење. Ако прође мањи терет, решење је clamp или нижи MTU тунела, а не нова шифра.

Тестирајте далеку страну

Тестирајте одредиште по његовој адреси, па погледајте шта тамо слуша. Одбијена веза и веза која никада не одговори различити су налази. Прва каже да нешто ради и не служи тај порт, а друга да се ништа није вратило. Ни једно није проблем клијента по правилу.

curl -sv http://10.20.30.41:8080/health
nc -vz -w 3 10.20.30.41 3389
ss -lnt 'sport = :8080'

Ништа доступно кроз тунел не може бити услуга која слуша само на 127.0.0.1, јер слушалац никада не види пакет. Када заштитни зид удаљеног хоста дозволи канцеларијску подмрежу и одбије базен тунела, резултат изгледа као квар клијента и није. Remote Desktop или дељење датотека који се покваре док веб-саобраћај преживљава обично заврше овде, како год корисник то формулисао.

Пресликајте притужбу на једну фазу

Већина пријава своди се на један од пет облика, и сваки облик именује фазу. Један сајт који ради само кроз тунел је одговор имена или политика везана за изворну адресу. Ажурирања отказују без тунела док прегледање ради — то је проблем имена или руте за тог клијента.

То што све стане када се покрене клијент провајдера је инсталирано стање, односно питање руте и заштитног зида. Једна услуга недоступна док је остало у реду је далека страна. Преноси застану после неколико секунди — то је величина пакета. Упоредите облик пре покретања команди, јер он одлучује који се докази прво прикупљају.

Забележите фазу која је дала први квар заједно са излазом команде. Тикет који каже да је изворна адреса била погрешна, са приложеном линијом руте, вреди поступања, док онај који пријављује да је VPN сломљен не вреди.