Зашто VPN може изгледати повезан када ништа не ради

Ваш клијент пријављује повезано док је интерфејс горе, а прегледач истиче, и ниједна од те три тврдње није нетачна. Повезано описује слој који нема никакве везе са страницом коју сте затражили. Да бисте одредили који слој извештава, потребан је један нови захтев и један поглед на бројач који би доказао да се саобраћај померио. Поновно покретање одбацује тај доказ и изнова гради услове које сте покушавали да посматрате.

Три различите ствари које називају повезано

На дну, повезано може значити да процес клијента ради и држи сокет према партнеру. Изнад тога, може значити да постоји интерфејс са адресом, који трајни уређај или рутина за опоравак могу створити без живе сесије иза њега. На контролном нивоу, може значити да је асоцијација договорена, што ништа не говори о томе да ли је испод ње прошао иједан пакет. Свака од њих преживљава отказе које остале не преживљавају, и клијент обично приказује најјачу коју може да тврди.

Зелена икона и мртав тунел су зато спојиви, а не противречни; они извештавају о различитим објектима. То је цео разлог зашто се овај отказ стално погрешно дијагностикује као грешка у клијенту.

Пошаљите један безазлен захтев ка одредишту које вам је заиста потребно пре него што додирнете демон, и држите обавезни блок директног саобраћаја на месту док радите. Поновно покретање брише редослед догађаја и затим их поново ствара довољно близу да сакрије узрок, због чега се исти тикет враћа недељу дана касније без ичега новог у себи. Један захтев, једно очитавање бројача и покретач који је проузроковао отказ су минимални доказ.

Који бројач доказује да су се пакети померили

У IPsec-у, IKE асоцијација и CHILD асоцијација су одвојени објекти, и само child носи бројаче који одговарају на ово питање. Излистајте child, посматрајте да ли пакети расту у оба смера и упоредите то са оним што апликација покушава да уради. Инсталирана асоцијација на нули је други налаз од оне која расте док апликација још увек не успева; прва значи да саобраћај није изабран, друга да се креће и да је отказ даље. Прочитајте бројаче двапут, са неколико секунди разлике, јер један узорак не може да покаже тенденцију.

swanctl --list-sas
ip xfrm state list
ip -s link show dev tun0

Нулти бројачи указују на избор: рутирање, политику, простор имена из којег је пакет изашао или интерфејс на који се клијент никада није везао. Растући бројачи указују даље од тунела, зато наставите са прослеђивањем на далеком крају, разрешавањем имена, повратним путем и одредишном услугом, тим редом. Протокол без одвојеног child објекта излаже исти доказ својим терминима, зато користите оно што извештава о стању партнера и броју пакета уместо да позајмљујете речник IPsec-а. Облик очитавања је важнији од алата који га је створио.

Где отказ седи након што се бројачи помере

Гејтвеј који одговара на сопствену адресу управљања доказује да гејтвеј ради, а не да нешто иза њега опслужује ваш захтев, зато тестирајте далеку страну, а не кутију у средини. Разрешавање имена најбоље скрива отказе, јер резолвер до којег се не стиже кроз тунел истиче исто као мртва веза. Две претраге раздвајају те случајеве, и обе су јефтине. Прво питајте резолвер који тунел намеће, затим питајте јавни резолвер о истом имену.

dig +short host.example
dig +short @10.20.0.1 host.example
ping -c 2 10.20.0.25

Име које се разрешава преко јавног резолвера, али не преко тунелског, значи да је DNS пут сломљен, док име које се разрешава преко оба и још увек истиче у прегледачу указује на повратни пут или на услугу. Ако ping по адреси успе, а апликација још одбија, мрежа је доставила захтев и услуга га је одбила, што је сасвим каснија фаза.

Запишите покретач, затим промените једну ствар

Запишите шта је претходило отказу: период неактивности, промену мреже, обнављање кључа, поново покренут преносни рачунар или обновљен систем. Они стварају различите механизме, и обично само обновљени систем сам себе поправља, што је управо случај који вас ничему не учи. Поновно покретање уклања редослед догађаја и затим поново ствара услове довољно близу да сакрије узрок. Запишите покретач док је још репродуцибилан.

Затим направите једну поткрепљену исправку и поновите првобитни захтев заједно са покретачем који је проузроковао отказ. Неактивност је најлакши покретач за репродукцију, зато је најбрза потврда да је исправка решила механизам, а не симптом.

Оно што желите да пријавите је доказ да је саобраћај који сте намеравали да пошаљете стигао до услуге до које сте намеравали да стигнете. Икона која постаје зелена, кеширана страница која се учитава и бројач који се помера сви заједно доказују мање од једног завршеног захтева ка предвиђеном одредишту. Држите захтев, очитавање бројача и покретач заједно, како би следећа особа могла да разликује исправку од случајности.