Истек везе ВПН-а: DNS, транспорт, преговарање или пријава

„Веза је истекла“ је најнепрецизнија грешка коју ВПН клијент може да одштампа. Она значи да је једна операција пропустила рок, а свака фаза од разрешавања имена до одговора на пријаву има рок. Клијенти који приказују само завршну поруку чине фазе истим, па људи повећавају рок, мењају порт и поново инсталирају профил, тим редом, не научивши ништа. Поређење фаза је брже: свака не успева на другом месту, и сваки неуспех оставља другу врсту доказа.

Четири фазе, четири различита неуспеха

Редослед је фиксан чак и када га клијент крије: име мора да се разреши, ка добијеној адреси мора да се успостави транспорт, протокол мора да преговара своје параметре и кључеве, а налог мора да буде аутентификован. Водич OpenVPN-а за решавање проблема са повезивањем следи исти редослед за свог клијента, а остали га блиско следе. Истек у другој фази и истек у четвртој немају ништа заједничко осим речи на екрану.

У дневнику прочитајте последњи ред који показује напредак, а не последњи ред пре грешке. Већина клијената исписује нешто као решена адреса, успостављен сокет, започето руковање или захтев за аутентификацију, и фаза која следи после тог реда је она која је истекла.

Разрешавање имена не успева пре било каквог контакта

Ако се крајња тачка никада не разреши, клијент нема с чим да се повеже и ниједан транспортни посао није обављен. Тај неуспех је обично тренутан, а не пун истек, што је најјефтинији начин да га разликујете од осталих. Тестирајте име системским резолвером и другим резолвером, и упоредите два одговора пре него што закључите да је сервер пао.

Стара адреса копирана са форумске објаве чест је узрок истека који изгледа као проблем сервера, јер адреса сада припада нечему другом или ничему. Користите тренутни профил оператера уместо да замените адресу која је раније радила. Недостатак одговора на ping није доказ ни у једном смеру: многа одредишта одбацују ICMP, а притом служе сасвим добро.

Подешавање транспорта чека пакет који неће доћи

Када је DNS у реду, а клијент ипак сагори цео рок, сумњив је транспортни слој. На TCP можете директно да тестирате порт; Test-NetConnection на Windows-у или nc -vz на Linux-у вам каже да ли нешто прихвата везу, и то је корисније од ping-а. На UDP не можете тако да тестирате, јер у том слоју нема руковања које треба довршити, и та асиметрија ствара много погрешних закључака.

Оно што TCP тест доказује је ограничено: услуга која прихвата порт 443 није нужно ВПН слушалац, а крајња тачка само са UDP-ом нема TCP порт да било шта прихвати. Преписивање профила са UDP-а на TCP не ствара слушаоца на другој страни; само мења оно што ваш клијент чека. Ако мрежа филтрира протокол, промена производи другачији истек у истој фази.

Заробљени портали заслужују сопствену проверу у овој фази. Док портал не овласти уређај, излазни саобраћај иде ка порталу и покушај тунела једноставно виси. Прво довршите портал у прегледачу, затим покушајте поново, и не мењајте профил док је портал још на чекању.

Преговарање и пријава значе да је сервер одговорио

Чим тунел стигне до сервера, клијент започиње руковање и грешка мења карактер. Застој овде тиче се компатибилности, а не достижности: неусклађене верзије протокола, подешавање шифре или податковног канала које друга страна неће прихватити, или профил који очекује функцију коју сервер не нуди. OpenVPN је померао своје подразумеване поставке преговарања између главних верзија довољно често да профил написан за једну генерацију може да стигне до сервера и ипак се не подигне.

Аутентификација је последња фаза и најлакше се чита погрешно. Експлицитно одбијање је одговор, што значи да путања ради, а проблем је идентитет, сертификат или стање налога. Ток јединствене пријаве преко прегледача је трећи случај: клијент чека радњу коју нисте извели, или прегледач који не може да покрене, и ништа неће доћи док не завршите тај корак.

Упоредите доказе пре него што промените поновни покушај

Држите уређај и профил фиксним и мењајте по једну ствар, почевши од мреже. Ако се исти профил повезује преко мобилног хотспота и истиче на хотелском Wi-Fi-ју, променљива је путања, а не сервер. Ако не успева свуда, променљива је профил или крајња тачка. Ако не успева само у одређено доба дана, забележите временску ознаку и упоредите је са догађајима на страни сервера пре него што било шта претпоставите о оптерећењу.

За услугу коју администрирате, одлучујуће поређење је да ли покушај уопште стиже. Веза која стигне до слушаоца и затим стане припада фази преговарања; она која се никада не појави у видном пољу слушаоца је транспортни или проблем разрешавања, и никакво подешавање поновних покушаја је неће померити. Серверски дневници такође одвајају одбијену пријаву од тихог одбацивања, што је разлика између поправке идентитета и поправке заштитног зида.

Забележите верзију клијента, назив профила, време покушаја са његовом временском зоном и прву корисну грешку уместо последњег реда о прекиду. Уклоните кључеве и материјал са акредитивима пре него што поделите извод. Затим направите једну смислену поправку и покушајте поново, јер дужи рок помаже само документованој спорој операцији и не чини ништа за погрешну адресу или блокиран порт.