VPN bağlanıyor ama LAN cihazlarına ulaşmıyor: neler kontrol edilmeli

Trafik tünele girer, ağ geçidi kendi adresine yanıt verir ve arkasındaki hiçbir şey yanıt vermez. Bu desen yaygındır ve bir çelişki değildir: ağ geçidinden gelen yanıt tünelin sonlandığını kanıtlar ve ötesine adreslenen bir pakete ne olduğu hakkında hiçbir şey kanıtlamaz. İki test aynı makinede farklı kod yolları çalıştırır.

Bundan sonra ağ geçidinin diğer tarafında bir şeyler test edin. Yönlendirme ne kadar bozuk olursa olsun ağ geçidinin kendi adresi yanıt vermeye devam edecek.

Ağ geçidi kendi yığınından yanıt verir

Ağ geçidine adreslenen bir paket, yerel giriş yoluna teslim edilir; burada çekirdek, dinleyen bir soketin onu kabul edip etmeyeceğine karar verir. Ağ geçidinin arkasındaki bir konağa adreslenen paket ise bunun yerine yönlendirme yoluna teslim edilir ve burada farklı bir denetim kümesi geçerlidir. Yönlendirme tamamen devre dışı bırakılabilir ya da çekirdek tarafından etkinleştirilip ardından tüneli hiç anmayan bir filtre kuralı tarafından reddedilebilir. Bunların hiçbiri ağ geçidinin kendi yanıtını etkilemez, bu yüzden belirti bu kadar güvenilir biçimde yanıltır.

Tünel üzerinden ulaşılan yönetim sayfaları da ilk kategoriye girer. Bunlar tünel hakkında kanıttır, arkasındaki ağ hakkında değil.

Akışı onu düşüren ilk sınıra kadar izleyin

İstemciden başlayın ve akışın kullanacağı rotayı ve kaynak adresi doğrulayın. Ardından ağ geçidinde tam o akışın gelişini, sonra da aynı akışın LAN'a doğru gidişini izleyin. Eğer hiç gelmiyorsa sorun istemci tarafında ya da tünelin izin verilen öneklerindedir. Eğer gelip hiç gitmiyorsa sorun yönlendirmede ya da ileri yol filtresindedir ve yakalama hangisi olduğunu zaten söylemiştir.

Aynı testi ağ geçidinden çalıştırmak ilginç yarıyı gizler, çünkü ağ geçidinden kaynaklanan bir paketin kaynağı ve dönüş gereksinimi farklıdır. Her adımda istemcinin akışını kendi kaynak adresiyle kullanın. Yanlış arayüzde alınan bir yakalama kendinden emin saçmalıklar üretir.

Dönüş rotaları ve konak güvenlik duvarları ayrı ayrı başarısız olur

Paket konağa ulaştıktan sonra üç şey daha geçerli olmalıdır. Hizmet, paketin gönderildiği adreste dinliyor olmalıdır, konağın güvenlik duvarı onu kabul etmelidir ve yanıtın istemci havuzuna doğru bir dönüş rotası olmalıdır. Sonuncusu sık sık başarısız olur, çünkü konağın varsayılan rotası tünel aralığını hiç duymamış bir yönlendiriciyi gösterir. Sonuç, konağın bakış açısından kurulan ve diğer yönde sessizce ölen bir bağlantıdır.

Dönüş yolunu bilerek test edin: istemciden gönderin ve dönüşü izleyin. Tek yönlü bir yakalama, bir saatlik tahminin çözmeyeceğini saniyeler içinde çözer.

Her atlamayı istemcinin kaynak adresiyle doğrulayın

Denetimleri sırayla çalıştırın ve her çıktıyı saklayın, çünkü değer karşılaştırmadadır, tek bir satırda değil. Aşağıdaki komutlar kaynak adresi sabitler, seçilen rotayı gösterir ve yönlendirmenin iki tarafını yakalar. Kendi LAN konağınızı ve tünel arayüzünüzü yerine koyun.

ip route get 192.168.50.20 from 10.8.0.2
ping -I 10.8.0.2 -c 3 192.168.50.20
sudo tcpdump -ni tun0 host 192.168.50.20
sudo tcpdump -ni br0 host 192.168.50.20

Rota sorgusu istemcinin o paketi tünele gönderip göndermeyeceğini gösterir, ping ise konaktan bir şey dönüp dönmediğini gösterir. İki yakalamayı karşılaştırmak varışı çıkıştan ayırır, çünkü tünel arayüzündeki bir çerçevenin LAN arayüzünde karşılığı yoksa bu bir hizmet arızası değil yönlendirme kararıdır. İki yakalama da isteği gösterip yalnızca biri yanıtı gösteriyorsa, geriye kalan şüpheli dönüş rotasıdır.

Hangi adresin yanıt verdiğini ve hangi yönlendirilen hedefin başarısız olduğunu not edin. Bu cümle, sunucuya ulaşılamıyor iddiası yerine raporu eyleme geçirilebilir kılar.