Kyk na ’n Linux-VPN-koppelvlak met ip link, laag vir laag

Die kliënt se ikoon sê verbind, die koppelvlak bestaan, en die toepassing bereik steeds niks. Daardie kombinasie is algemeen, want ’n virtuele koppelvlak kan bly bestaan terwyl sy eweknie, sy adresse of sy roetes ontbreek. ip link is die regte eerste gereedskap, en ook die maklikste om te oorskat. Vlae en tellers beskryf een laag, en die lae bo hulle misluk onafhanklik. Dit is ook die stuk gereedskap wat mense aanhaal wanneer hulle wil bewys die tonnel is op, presies die bewering wat dit alleen nie kan ondersteun nie.

Lees die koppelvlak voordat jy die ikoon lees

Begin met ip -details link show dev tun0 soos gedokumenteer in die ip-link-handleiding, en vervang dit met die koppelvlak wat jou kliënt werklik besit eerder as die konvensionele naam. Vlae, tipe, MTU en die identiteit van die koppelvlak is nuttige waarnemings. Die staatbewoording van ’n virtuele koppelvlak hoef nie soos die draer-aanduiding van ’n fisiese kabel te werk nie, so hanteer UP as ’n stelling oor die koppelvlak en nie oor die tonnel nie.

Daardie onderskeid verduidelik die verwarrendste geval: ’n koppelvlak wat bly bestaan terwyl die ander kant weer verbind of onbereikbaar is.

Volhardingsinstellings kan die skakel juis laat bly sodat die herverbinding dit nie herbou nie, wat beteken teenwoordigheid is nie gesondheid nie.

Voeg tellers by en ’n versoek wat hulle behoort te gebruik

Gebruik die ondersteunde statistiekaansig ip -s link show dev tun0, en let op die pakket- en greptellers in beide rigtings. Skep dan ’n onskadelike versoek wat die koppelvlak behoort te deurkruis en vergelyk die betrokke rigting. ’n Versoek wat ’n ander toepassing se direkte roete gevolg het, sal nie daardie tellers beweeg nie, en dit is die punt van die oefening.

As die stuur-teller beweeg en die ontvangs-teller nie, het die pakket vertrek en niks het teruggekom. Dit is ’n ander probleem as ’n koppelvlak wat nooit iets gedra het nie. As albei tellers beweeg en die toepassing faal steeds, sit die fout bo die koppelvlak, wat vordering is eerder as ’n doodloopstraat.

Neem die lesing twee keer, een voor en een na, eerder as om ’n enkele oomblikfoto te vertrou.

Adresse en roetes is aparte stappe

’n Skakel kan bestaan sonder die voorvoegsel, die resolveerder-konfigurasie of die roete wat die toepassing nodig het. Kontroleer die adres met ip address show dev tun0, kyk dan watter roete die bestemming met ip route get vir die werklike teiken sou kies. Daardie drie waarnemings beantwoord drie verskillende vrae, en net die laaste een gaan oor aanstuur.

Vir IPsec kan sekuriteitsbeleid en assosiasietoestand ook saak maak, en nie elke IPsec-ontwerp verskyn as ’n eenvoudige tun-koppelvlak nie. Om te soek na ’n tun-toestel wat nooit sou bestaan nie, is ’n vinnige manier om die verkeerde gevolgtrekking te maak.

Teken die presiese naam, die naamruimte en die tyd by enige uitset aan wat jy hou, want ’n naam wat dieselfde lyk in ’n ander houer of ’n herstelde sessie verteenwoordig ’n heeltemal ander konteks.

Moenie uitvee wat jy nie geïdentifiseer het nie

’n Onbekende koppelvlak is nie outomaties verouderd nie. Bepaal sy eienaar voordat jy iets verwyder, en gebruik die kliënt se gedokumenteerde afbreek of die bestuurde konfigurasie wanneer verwydering werklik bedoel is. Om ’n lewende tonnel te skrap om te sien wat gebeur, is ’n toets wat ’n vraag beantwoord wat niemand gevra het nie.

As die koppelvlak aan ’n houertydloop of ’n netwerk-naamruimte behoort wat jy nie geskep het nie, is die eienaar een opdrag weg en die moeite werd om eerste te vind.

Daardie versigtigheid geld ook vir ip link set down wat omkeerbaar lyk en dikwels nie is nie.

Wat die inspeksie jou behoort te laat

’n Goeie inspeksie eindig met vier feite: die koppelvlak se naam en naamruimte, sy vlae en MTU, die tellerdelta uit ’n werklike versoek, en die roete en adres wat die toepassing werklik nodig het. Met dié neergeskryf is die volgende stap duidelik en hoort dit aan ’n spesifieke laag. Sonder hulle is elke daaropvolgende verandering ’n raaiskoot met ’n terugrolplan.

Vergelyk daardie vier feite met dieselfde vier uit ’n werkende sessie. As die koppelvlak se naam en naamruimte ooreenstem maar die tellerdelta nul is, het die versoek nooit die tonnel bereik nie. As die tellerdelta gesond is en die roete elders wys, is die tonnel reg en die roetering nie. Daardie vergelyking is wat ’n hoop uitset in ’n besluit verander.

Hou die uitset by die kaartjie, want ’n latere vergelyking is net nuttig as jy kan sien wat verander het.

Sluit dan die lus deur die toepassing weer te toets, want die koppelvlak was nooit die ding waaroor die gebruiker gegee het nie.