Hoe om te kontroleer of 'n Linux-VPN-tonnel regtig op is

Cron herbegin elke tien minute 'n heeltemal gesonde VPN, en dieselfde taak laat 'n dooie een 'n week lank aan die gang. Albei foute kom daarvan dat 'op' as 'n enkele feit behandel word, terwyl dit minstens vier is. 'n Toestel kan administratief geaktiveer, korrek gerouteer en volledig geënkripteer wees en tog niks nuttig vervoer nie. Skei die waarnemings eers, en die kontrole skryf amper homself.

Koppelvlakvlae beskryf die toestel, nie die pad nie

Die kontrole wat almal kopieer, soek na 'n hardeware-adres van alles nul. Daardie truuk skei in sommige drywers 'n egte koppelvlak van 'n plekhouer, maar bewys in die res niks, want 'n tun-toestel het in die eerste plek geen MAC om te rapporteer nie. ip -brief link show tun0 gee eerder vlae: UP beteken dat 'n administrateur die toestel geaktiveer het, en LOWER_UP beteken dat die drywer die skakel as bruikbaar beskou. Saam gelees sê hulle die toestel bestaan en is nie administratief af nie. Nie een van hulle sê vir jou dat 'n pakket enige plek het om heen te gaan nie.

OpenVPN skep sy tun-toestel voordat roetes geïnstalleer word, so die vlae kan perfek lyk terwyl niks gerouteer is nie. Behandel hulle as 'n voorvereiste, nooit as die antwoord nie.

Vra waar 'n pakket heen sou gaan

Roetspeuring beantwoord die vraag wat die vlae nie kan nie. ip route get 10.8.0.1 from 10.8.0.2 noem die koppelvlak, die bronadres en die tabel wat die kern sou gebruik, wat presies is waarteen 'n split-tonnel gekontroleer moet word. Sonder die bronadres vra jy iets anders, en met beleidsroetering kan die antwoord per bron verskil. Dit is die goedkoopste eerlike toets, want dit raadpleeg dieselfde reëls as wat jou verkeer sal.

Vir WireGuard, voeg die handskud by. wg show druk 'n nuutste-handskud-tydstempel per eweknie, en 'n tydstempel wat ophou vooruitgaan beteken die eweknie is weg, ongeag wat die koppelvlakvlae sê. 'n Gekonfigureerde koppelvlak sonder 'n onlangse handskud is een van die algemeenste valspositiewe in selfgeboude monitering.

Tabel 220 vertel IPsec se verhaal

strongSwan installeer roetes vir onderhandelde keurders in tabel 220 wanneer roete-installasie geaktiveer is. ip route list table 220 skei dus onderhandel van gerouteer: 'n leë tabel langs 'n gelaaide verbinding beteken die IKE- en CHILD-SA's het opgekom terwyl geen verkeer in hulle gerig word nie. Kontroleer ip xfrm state daarnaas, want dit lys die geïnstalleerde sekuriteitsverenigings en hulle eindpunte.

'n Lokvalbeleid is die geval om voor op te let. Dit wag vir interessante verkeer eerder as om dit te roeteer, so die tabel bly leeg tot iets die tonnel aktiveer.

Bestuurderstand en daemon-stand is verskillende lyste

NetworkManager lys net die verbindings wat hy besit. nmcli -t -f NAME,TYPE connection show --active gee niks terug vir 'n tonnel wat direk deur wg-quick of deur 'n OpenVPN-daemon begin is.

Daardie onderskeid is belangrik wanneer 'n script moet besluit watter van twee bestuurders om te ondervra. Kies die een wat die tonnel werklik op hierdie gasheer besit en ignoreer die ander se stilte. As albei bestaan, besluit watter een outoritatief is en skakel die tweede af, want twee bestuurders wat roetes op een koppelvlak herskryf, produseer foute wat niemand kan herhaal nie. 'n Ontbrekende inskrywing is inligting oor die bestuurder, nie oor die tonnel nie.

Laat die volgende stap afhang van die ondersoek wat dit nodig het

Om 'n UDP-poort te peil bewys niks oor gereedheid nie, want UDP het geen handskud nie en nc -u slaag so gou as die pakket vertrek. Ondersoek wat die volgende stap werklik verbruik: 'n TCP-verbinding na die doorgevoerde poort, 'n versoek na 'n gasheer binne die tonnel, 'n naam wat net daar opgelos word. Beperk die wag met 'n tydbeperking en 'n pogingsteller, en misluit hard wanneer dit op is.

Hake verslaan peiling wanneer die kliënt dit bied. OpenVPN se --up en --down scripte loop nadat die koppelvlak van toestand verander het, wat die wedloop heeltemal verwyder, maar hulle loop met die voorregte wat die daemon behou het. As OpenVPN deur user en group na 'n onbevoorregte rekening afgegradeer is, loop die haak as daardie rekening. Om 'n stelseldiens te herbegin vereis dan sudo om presies daardie opdrag toe te laat. Gee die herprobeer aan die diensbestuurder eerder as aan 'n cron-lus: 'n begrensde herbeginbeleid met 'n beginlimiet openbaar 'n gebreekte tonnel, terwyl 'n onbegrensde lus dit onbeperk verberg.