VPN tunelinin Linux-da həqiqətən işlədiyini necə yoxlamaq olar

Cron hər on dəqiqədə tamamilə sağlam VPN-i yenidən başladır, eyni iş isə ölü birini bir həftə işlək saxlayır. Hər iki nasazlıq «işlək» anlayışını ən azı dörd ayrı fakt ola biləcəyi halda tək fakt kimi qəbul etməkdən qaynaqlanır. Cihaz inzibati olaraq aktiv, düzgün marşrutlaşdırılmış, tam şifrələnmiş ola bilər və yenə də faydalı heç nə daşımaya bilər. Əvvəlcə müşahidələri ayırın, yoxlama demək olar ki, özünü yazacaq.

Link bayraqları yolu deyil, cihazı təsvir edir

Hamının köçürdüyü yoxlama sıfırlardan ibarət aparat ünvanını axtarır. Bu hiylə bəzi sürücülərdə əsl interfeysi yer tutucudan ayırır, qalanlarında isə heç nə sübut etmir, çünki tun cihazının ümumiyyətlə MAC ünvanı yoxdur. ip -brief link show tun0 əvəzində bayraqlar verir: UP inzibatçının cihazı aktivləşdirdiyini bildirir, və LOWER_UP sürücünün linki istifadəyə yararlı saydığını bildirir. Birlikdə oxunduqda cihazın mövcud olduğunu və inzibati olaraq söndürülmədiyini deyirlər. Heç biri paketin gedəcəyi bir yer olduğunu demir.

OpenVPN tun cihazını marşrutlar qurulmadan əvvəl yaradır, ona görə bayraqlar mükəmməl görünə bilər, halbuki heç nə marşrutlaşdırılmayıb. Onları ilkin şərt kimi qəbul edin, heç vaxt cavab kimi yox.

Paketin hara gedəcəyini soruşun

Marşrut axtarışı bayraqların cavab verə bilmədiyi suala cavab verir. ip route get 10.8.0.1 from 10.8.0.2 interfeysin adını, mənbə ünvanını və nüvənin istifadə edəcəyi cədvəli göstərir; bu, bölünmüş tunelin yoxlanılmalı olduğu tam şeydir. Mənbə ünvanı olmadan başqa bir şey soruşursunuz, siyasət əsaslı marşrutlaşdırmada isə cavab mənbədən mənbəyə dəyişə bilər. Bu ən ucuz dürüst testdir, çünki trafikinizin istifadə edəcəyi qaydaların eynisini nəzərə alır.

WireGuard üçün əl sıxmanı da əlavə edin. wg show hər peer üçün son əl sıxma vaxt damğasını çap edir və irəliləməyi dayandırmış damğa peer-in getdiyini bildirir, interfeys bayraqları nə deyirsə də. Yaxın əl sıxması olmayan konfiqurasiya edilmiş interfeys evdə hazırlanmış monitorinqdə ən çox rast gəlinən yalançı müsbətlərdəndir.

Cədvəl 220 IPsec-in hekayəsini danışır

strongSwan marşrut quraşdırması aktiv olduqda razılaşdırılmış seçicilər üçün marşrutları 220 cədvəlinə quraşdırır. ip route list table 220 buna görə razılaşdırılmışı marşrutlaşdırılmışdan ayırır: yüklənmiş bağlantının yanında boş cədvəl IKE və CHILD SA-larının qurulduğunu, lakin onlara heç bir trafik yönləndirilmədiyini bildirir. Yoxlayın ip xfrm state ilə birlikdə, çünki bu, quraşdırılmış təhlükəsizlik assosiasiyalarını və onların son nöqtələrini sadalayır.

Tələ siyasəti diqqət yetirilməli haldır. O, marşrutlaşdırmaq əvəzinə maraqlı trafiki gözləyir, ona görə cədvəl nə isə tuneli işə salana qədər boş qalır.

Menecer vəziyyəti və demon vəziyyəti fərqli siyahılardır

NetworkManager yalnız sahib olduğu bağlantıları sadalayır. nmcli -t -f NAME,TYPE connection show --active birbaşa wg-quick və ya OpenVPN demonu tərəfindən başladılmış tunel üçün heç nə qaytarmır.

Bu fərq skriptin iki menecerdən hansını sorğulayacağına qərar verməli olduqda vacibdir. Bu hostda tunelə həqiqətən sahib olanı seçin və digərinin sükutuna məhəl qoymayın. İkisi də varsa, hansının səlahiyyətli olduğuna qərar verin və ikincini söndürün, çünki bir interfeysdə marşrutları yenidən yazan iki menecer heç kimin təkrarlaya bilmədiyi nasazlıqlar yaradır. Çatışmayan qeyd menecer haqqında məlumatdır, tunel haqqında deyil.

Növbəti addımı ona lazım olan yoxlamadan asılı et

UDP portunu yoxlamaq hazırlıq haqqında heç nə sübut etmir, çünki UDP-nin əl sıxması yoxdur və nc -u paket çıxan kimi uğur qazanır. Növbəti addımın həqiqətən nə istehlak etdiyini yoxlayın: yönləndirilmiş porta TCP bağlantısı, tunelin içindəki hosta sorğu, yalnız orada həll olunan ad. Gözləməni bir taym-aut və cəhd sayı ilə məhdudlaşdırın və bitdikdə ucadan uğursuz olun.

Müştəri təklif etdikdə qarmaqlar yoxlamadan yaxşıdır. OpenVPN-in --up və --down skriptləri interfeys vəziyyətini dəyişdikdən sonra işləyir, bu yarışı tamamilə aradan qaldırır, lakin onlar demonun saxladığı imtiyazlarla işləyir. Əgər OpenVPN user və group vasitəsilə imtiyazsız hesaba düşübsə, qarmaq həmin hesabla işləyir. Sistem xidmətini yenidən başlatmaq onda sudo-nun məhz həmin əmri icazə verməsini tələb edir. Təkrar cəhdi cron dövrəsinə deyil, xidmət menecerinə verin: başlama limiti olan məhdud yenidən başlatma siyasəti pozulmuş tuneli üzə çıxarır, məhdudiyyətsiz dövrə isə onu sonsuza qədər gizlədir.