VPN підключено, але інтернету немає? Пройдіть чотири рівні

Клієнт повідомляє «підключено», браузер крутиться, і кожен сайт закінчується тайм-аутом. Це поєднання звичайне і не є суперечністю: підключено означає, що тунель домовився, і не більше. Розв'язання імен, маршрутизація та власний вихід сервера відмовляють кожен по-своєму, і в кожного свій власник. Проходьте рівні по порядку і зупиніться на першому, який відмовить.

Почніть із мережі, з якої ви прийшли

Скиньте тунель власною кнопкою відключення клієнта, потім спробуйте два не пов'язані сайти HTTPS, якщо політика дозволяє. Залиште чутливу роботу закритою на час цієї перевірки. Якщо й звичайний доступ не працює, VPN не перший підозрюваний.

Погляньте на Wi-Fi-з'єднання, роутер і будь-яку сторінку порталу, що вимагає входу, перш ніж чіпати тунель. Kill switch може блокувати трафік у відключеному стані за задумом, тому дотримуйтеся його документованої процедури перевірки, а не робіть висновок, що мережа мертва. Інша довірена мережа — корисне порівняння, і новий вихід VPN не завершить прострочений вхід у готелі. Якщо відкрита мережа працює, а тунель ні, мережу виправдано, і наступний рівень ваш.

Визначте, чи відмова пов'язана з розв'язанням імен

Запишіть текст помилки, бо відмова розв'язання, тайм-аут і попередження про сертифікат указують кожен в інше місце. Шаблон, який треба зловити рано: ім'я хоста, яке ви ніколи не відвідували, відмовляє, а застосунок із відкритою сесією продовжує працювати. Цей шаблон про нові запити, а не про те, чи несе тунель пакети. Один запит показує, що повертає розв'язувач, і займає секунду. Спробуйте й друге ім'я, щоб одна кешована відповідь або один пошкоджений запис не вирішили діагноз.

nslookup example.com

Довільний IP в адресному рядку HTTPS — не перевірка DNS, бо сертифікат і віртуальний хост зазвичай залежать від імені. Внутрішнім іменам може знадобитися розв'язувач організації замість публічної заміни, а браузер із власним захищеним розв'язувачем може відповісти інакше, ніж запит операційної системи. Там, де вони розходяться, розв'язувач браузера — те, що відчуває користувач, і ця відмінність належить заявці.

Повний тунель чи лише корпоративні підмережі

Деякі профілі існують лише для доступу до кількох корпоративних підмереж; інші створені нести все і потребують робочого виходу позаду. Прочитайте документоване призначення, перш ніж вважати, що індикатор покриває кожен застосунок і кожну родину адрес. Профіль приватної мережі може працювати саме так, як задумано, а браузер, якому не личило ним користуватися, все одно відмовляє. Прочитайте таблицю маршрутів, не змінюючи її, і включіть IPv6, бо робочий шлях IPv4 нічого не каже про іншу родину.

Конкретніший маршрут може перемогти, поки маршрут за замовчуванням ще існує, тому таблицю треба читати, а не припускати. Конкуруючі віртуальні адаптери теж можуть володіти трафіком, який ви чекали в іншому місці, особливо після того, як другий клієнт VPN встановлено й забуто. Не видаляйте маршрут за замовчуванням як експеримент; це перетворює діагностику на другу аварію.

Один сайт, що відмовляє серед робочих, — проблема цього сайту, і це також доводить, що тунель несе трафік. Затримки, що з'являються лише на великих передачах, указують на розмір пакета, а не на доступність.

Коли сервер нічого не пересилає

Якщо кожен пункт призначення відмовляє на двох пристроях і двох мережах доступу, тунель піднято, а вихід не пересилає. Саме ця пара відділяє відмову на боці сервера від одного пристрою, налаштованого неправильно в одному місці. Надішліть оператору питання про пересилання, NAT і зворотний шлях, а не знімок індикатора.

Ці три покривають більшість причин на боці сервера, і відповідати на них оператору. Сторінка усунення проблем із підключенням OpenVPN проходить ті самі питання з боку сервера, тому передайте її разом із заявкою. Знімок зеленого індикатора не відповідає на жодне з них.

Перегляньте журнал клієнта після входу щодо відмов під час застосування маршрутів, налаштувань DNS або віртуального адаптера. Помилки на цьому етапі вказують на пристрій, а не на сервер. Помилка, яка ніколи не з'являється в журналі, так само інформативна, бо переносить підозру на інший бік.

Перевіряйте по одному рівню за раз

Після зміни перепідключіться і повторіть саме той застосунок, який відмовив. Одна завантажена сторінка доводить менше, ніж відтворюваний шлях до ресурсів, для яких створено профіль. Дві команди відділяють розв'язання від доступності, і друга залежить від хоста. Запустіть рядок curl будь-де, потім команду маршрутів, що відповідає хосту перед вами.

curl -sS -o /dev/null -w "%{http_code}" --max-time 5 https://example.com
route print -4          # Windows
ip -4 route show        # Linux
netstat -rn | head      # macOS

Якщо числовий запит працює, а ім'я ні, залишайтеся на DNS. Якщо не працює ні те ні інше, порівняйте таблицю маршрутів з очікуваним значенням тунеля за замовчуванням і перевірте родину, яку ви насправді тестуєте. Якщо маршрут правильний, а запит усе одно вмирає на виході, решта питання належить оператору, а збережені докази і є заявка.