Kumokonekta ang VPN pero hindi naaabot ang mga LAN device: ano ang dapat suriin

Pumapasok ang trapiko sa tunnel, sumasagot ang gateway sa sarili nitong address, at walang sumasagot sa likod nito. Karaniwan ang pattern na iyon at hindi ito kontradiksyon: pinatutunayan ng sagot mula sa gateway na natapos ang tunnel, at wala itong pinatutunayang anuman tungkol sa nangyayari sa isang packet na naka-address sa dako roon. Gumagamit ang dalawang pagsubok ng magkaibang code path sa parehong makina.

Simula ngayon, subukan ang isang bagay sa kabilang panig ng gateway. Patuloy na sasagot ang sariling address ng gateway, gaano man kasira ang pagpapasa.

Sumasagot ang gateway mula sa sarili nitong stack

Ang packet na naka-address sa gateway ay inihahatid sa lokal nitong input path, kung saan nagpapasya ang kernel kung tatanggapin ito ng isang socket na nakikinig. Ang packet na naka-address sa isang host sa likod ng gateway ay inihahatid sa halip sa forwarding path, kung saan ibang hanay ng mga pagsusuri ang nalalapat. Maaaring ganap na patayin ang pagpapasa, o buhayin ito ng kernel at pagkatapos ay tanggihan ng isang tuntunin ng filter na hindi kailanman binabanggit ang tunnel. Wala sa mga ito ang nakakaapekto sa sariling sagot ng gateway, kaya napakatiyak na nakakaligaw ang sintomas.

Ang mga pahina ng pangangasiwa na naaabot sa pamamagitan ng tunnel ay kabilang din sa unang kategorya. Ebidensya sila tungkol sa tunnel, hindi tungkol sa network sa likod nito.

Sundan ang daloy hanggang sa unang hangganang nagtatapon nito

Magsimula sa kliyente at kumpirmahin ang ruta at source address na gagamitin ng daloy. Pagkatapos ay panoorin ang gateway para sa pagdating ng eksaktong daloy na iyon, at muli para sa parehong daloy na lumalabas patungo sa LAN. Kung hindi ito dumarating, ang problema ay nasa panig ng kliyente o sa mga pinapayagang prefix ng tunnel. Kung dumarating ito at hindi kailanman lumalabas, ang problema ay sa pagpapasa o sa isang filter ng pasulong na landas, at nasabi na ng pagkuha kung alin.

Ang pagpapatakbo ng parehong pagsubok mula sa gateway ay nagtatago ng kawili-wiling kalahati, dahil ang packet na nagmumula sa gateway ay may ibang pinagmulan at ibang pangangailangan sa pagbalik. Gamitin ang daloy ng kliyente, kasama ang sarili nitong source address, sa bawat hakbang. Ang pagkuha sa maling interface ay gumagawa ng may-kumpiyansang kalokohan.

Ang mga ruta ng pagbalik at mga firewall ng host ay nabibigo nang hiwalay

Kapag naabot ng packet ang host, tatlong bagay pa ang dapat totoo. Dapat nakikinig ang serbisyo sa address kung saan ipinadala ang packet, dapat tanggapin ito ng firewall ng host, at dapat may ruta pabalik ang sagot patungo sa pool ng mga kliyente. Madalas mabigo ang huli, dahil ang default na ruta ng host ay tumuturo sa isang router na hindi kailanman nakarinig tungkol sa saklaw ng tunnel. Ang resulta ay isang koneksyon na naitatag mula sa pananaw ng host at tahimik na namamatay sa kabilang direksyon.

Sadyang subukan ang ruta ng pagbalik sa pamamagitan ng pagpapadala mula sa kliyente at pagmamasid sa pagbalik. Ang isang-direksyong pagkuha ay nagpapasya sa ilang segundo ng hindi mapapasya ng isang oras na haka-haka.

Kumpirmahin ang bawat hop gamit ang source address ng kliyente

Patakbuhin ang mga pagsusuri nang sunod-sunod at itago ang bawat output, dahil ang halaga ay nasa paghahambing at hindi sa iisang linya. Ang mga utos sa ibaba ay nagtatakda ng source address, nagpapakita ng napiling ruta, at kumukuha ng dalawang panig ng pagpapasa. Palitan ang sarili mong LAN host at tunnel interface.

ip route get 192.168.50.20 from 10.8.0.2
ping -I 10.8.0.2 -c 3 192.168.50.20
sudo tcpdump -ni tun0 host 192.168.50.20
sudo tcpdump -ni br0 host 192.168.50.20

Ipinapakita ng query ng ruta kung ipapadala man ng kliyente ang packet na iyon sa tunnel, at ipinapakita ng ping kung may bumalik mula sa host. Ang paghahambing ng dalawang pagkuha ay naghihiwalay ng pagdating sa paglabas, dahil ang isang frame sa tunnel interface na walang katapat sa LAN interface ay desisyon sa pagpapasa, hindi pagkabigo ng serbisyo. Kapag ang dalawang pagkuha ay nagpapakita ng kahilingan at isa lamang ang nagpapakita ng sagot, ang ruta ng pagbalik ang natitirang pinaghihinalaan.

Itala kung aling address ang sumagot at aling naipasang destinasyon ang nabigo. Ginagawa ng pangungusap na iyon na maisasagawa ang ulat sa halip na isang pag-aangkin na hindi maaabot ang server.