Monitor 'n Router-VPN sonder om een statuslig te vertrou
Eweknie-toestand, die gekose roete en 'n toegelate toepassingstoets beantwoord verskillende vrae. Alarmeer op die grens wat gefaal het, nie op 'n groen ikoon nie.
Die statusbladsy sê verbind, die lig is groen, en die kantoor kan nie die lêerbediener bereik nie. Een van daardie feite gaan oor die tonnel en die ander oor die pad daardeur. Om albei te monitor is die verskil tussen 'n waarskuwing waarop jy kan reageer en een wat jy leer ignoreer.
Vyf kontroles, in volgorde, van die eweknie uitwaarts.
Kontrole 1: eweknie- of assosiasietoestand
Elke protokol stel sy eie toestand bloot. WireGuard wys die jongste handdruk en oordragtellers per eweknie deur wg show. OpenVPN skryf sessietoestand na sy statuslêer of bestuurskoppelvlak, en IPsec stel sekuriteitsassosiasies bloot deur gereedskap soos ipsec statusall. Die lokval is om 'n tydstempel as 'n uitspraak te lees: 'n ledige WireGuard-eweknie met niks om te stuur nie sal nie onlangs 'n handdruk doen nie, en dit is nie 'n onderbreking nie.
Vergelyk die tydstempel met verwagte verkeer en keepalive-instellings voordat jy iemand ontbied.
Kontrole 2: die gekose roete
'n Tonnelkoppelvlak kan bestaan terwyl niks daarin roeteer nie. Kyk na die aanstuurtafel vir die bestemming wat jou aangaan, nie vir die tonnel se eie subnet nie. As die voorvoegsel ontbreek of elders heen wys, is die eweknie-toestand irrelevant.
Daardie kontrole vang die fout wat 'n statuslig nooit wys nie.
'n Nuttige tweede kontrole vergelyk ook die bronadres. ip route get 10.20.5.10 gee die volgende sprong, die koppelvlak en die verkose bron terug, en 'n verkeerde bron is genoeg om terugkeerverkeer aan die ander kant te breek. Teken die verwagte drietal een keer aan en waarsku wanneer enige element verander. Daardie enkele reël vang NAT-veranderinge, koppelvlak-flaps en beleidsroeteringsfoute.
Kontrole 3: 'n toegelate toepassingspad
Toets iets wat verteenwoordigend van die werklike vereiste is. 'n Ping vanaf die router vertrek vanaf die router se eie adres en beleid, wat kan verskil van deurgestuurde LAN-verkeer, en baie gashere beperk ICMP. As die vereiste 'n private diens is, toets daardie diens op sy werklike poort.
Hou die toetsvolume beskeie. 'n Moniteringslus moet nie die verkeer word wat dit meet nie.
Kontrole 4: wat verander het en wanneer
Korreleer WAN-veranderinge, hersluitings, roete-onttrekkings en toepassingsfoute op een tydlyn. Onderskei 'n tonnelfout van 'n terugvalroete wat stilweg gewone internettoegang herstel, want dié lewer identiese gebruikersterugvoer en teenoorgestelde diagnoses. Tydsonesfoute sal die volgorde omkeer, so normaliseer voordat jy vergelyk. Die tydlyn is wat vier kontroles in 'n oorsaak verander.
Bewaar logs vir die oorgange, nie vir die vrag nie.
Kontrole 5: die alarm moet die grens noem
'n Alarm wat sê VPN is af, stuur iemand die helfte van die tyd na die verkeerde plek. Een wat sê die eweknie-handdruk is twaalf minute oud, die roete na 10.20.0.0/16 ontbreek, of die toets na poort 445 misluk, wys na 'n spesifieke kontrole.
Hou bedryfstellers eerder as om vragte te deursoek. Tellers beantwoord die moniteringsvraag sonder om inhoud te versamel wat jy nie nodig het nie.
En laat die failover-beleid besluit wat volgende gebeur. Monitering moet identifiseer watter grens gefaal het, nie elke keer 'n breë omleiding magtig wanneer 'n toets misluk nie. Die OpenVPN 2.6-handleiding dokumenteer die statuslêer en bestuurskoppelvlak wat die eerste kontrole skripteerbaar maak.