要点
更改网络之前对故障进行分类
无法解析的主机名、从未建立的 TLS 连接、加载但请求停止的接口以及显式帐户或策略消息是不同的类别。前三个可以作为网络行为来研究。明确的策略或帐户响应不应被视为传输错误。
比较禁用 VPN 的相同设备和帐户,然后在另一个网络上进行比较。如果到处都出现相同的显式服务响应,则路由解释的可能性较小。如果症状随网络路径而变化,请转到 DNS 和传输诊断。
加载的页面并不能证明整个会话有效
交互式 Web 应用程序使用多个短请求。较长的响应可能会受到 TCP 重置、代理、过滤、浏览器扩展或不稳定的接口切换的影响。因此,成功加载主页不会验证对话期间使用的每个连接。
使用干净的浏览器配置文件进行测试,验证系统时间和 DNS,然后重复相同的请求。如果浏览器工作但专用客户端失败,请比较这些进程的代理和分割隧道规则。如果只有一种 VPN 协议受到影响,请记录确切的故障阶段,而不是一次更改多个设置。
检查 DNS 路径,不要将其与策略混淆
将名称解析与 VPN 打开和关闭进行比较,并确保重新连接不会留下陈旧的解析器状态。系统私有 DNS 或浏览器 DoH 可以创建与 VPN 承载的 DNS 分开的解析器路径。即使隧道看起来已连接,这也可能会产生部分站点行为。
每次网络更改后,重复一个受控场景。目标是识别故障层。如果服务返回显式策略或帐户限制,则更改网络参数不是正确的故障排除路径。
继续阅读