Праверка інтэрфейса VPN у Linux праз ip link, па ўзроўнях

Значок кліента паказвае, што злучэнне ёсць, інтэрфейс існуе, а праграма ўсё роўна нічога не дасягае. Такое спалучэнне сустракаецца часта, бо віртуальны інтэрфейс можа заставацца, пакуль адсутнічаюць ягоны далёкі партнёр, адрасы або маршруты. ip link — правільны першы інструмент і адначасова самы просты для перабольшанага чытання. Сцягі і лічыльнікі апісваюць адзін узровень, а ўзроўні над імі выходзяць з ладу незалежна. Гэта таксама інструмент, які цытуюць, каб даказаць, што тунель працуе, — менавіта тое сцвярджэнне, якое ён сам па сабе не пацвярджае.

Прачытайце інтэрфейс раней, чым значок

Пачніце з ip -details link show dev tun0 як апісана ў кіраўніцтве па ip-link, падставіўшы інтэрфейс, якім ваш кліент сапраўды валодае, замест звычайнай назвы. Сцягі, тып, MTU і ідэнтычнасць інтэрфейса — карысныя назіранні. Фармулёўка стану віртуальнага інтэрфейса не абавязана паводзіць сябе як індыкатар нясучай здольнасці фізічнага кабеля, таму ўспрымайце UP як сцвярджэнне пра інтэрфейс, а не пра тунель.

Гэтае размежаванне тлумачыць самы загадкавы выпадак: інтэрфейс застаецца, пакуль далёкі бок перападключаецца або недасяжны.

Налады захавання могуць трымаць спасылку менавіта дзеля таго, каб перападключэнне не перабудоўвала яе, а значыць наяўнасць — не здароўе.

Дадайце лічыльнікі і запыт, які павінен іх выкарыстаць

Скарыстайцеся падтрыманым прадстаўленнем статыстыкі ip -s link show dev tun0 і адзначце колькасць пакетаў і байтаў у абодвух кірунках. Затым згенеруйце бясшкодны запыт, які павінен прайсці праз інтэрфейс, і параўнайце адпаведны кірунак. Запыт, што пайшоў непасрэдным маршрутам іншай праграмы, не зрушыць гэтыя лічыльнікі, і ў гэтым сутнасць практыкавання.

Калі лічыльнік адпраўкі расце, а лічыльнік прыёму не, пакет выйшаў і нічога не вярнулася. Гэта іншая праблема, чым інтэрфейс, які ніколі нічога не пераносіў. Калі абодва лічыльнікі растуць, а праграма ўсё роўна не працуе, няспраўнасць вышэй за інтэрфейс, і гэта прагрэс, а не тупік.

Зрабіце замер двойчы, адзін раз да і адзін пасля, а не давярайце аднаму здымку.

Адрасы і маршруты — асобныя крокі

Спасылка можа існаваць без прэфікса, канфігурацыі рэзалвера або маршруту, патрэбнага праграме. Праверце адрас праз ip address show dev tun0, затым праверце, які маршрут абярэ пункт прызначэння, праз ip route get для рэальнай мэты. Гэтыя тры назіранні адказваюць на тры розныя пытанні, і толькі апошняе пра перасылку.

Для IPsec могуць мець значэнне палітыка бяспекі і стан асацыяцыі, і не кожны дызайн IPsec выглядае як просты інтэрфейс tun. Шукаць прыладу tun, якой ніколі не павінна было быць, — хуткі шлях да няправільнай высновы.

Запісвайце дакладную назву, прастору імёнаў і час разам з любым вывадам, які захоўваеце, бо аднайменная назва ў іншым кантэйнеры або адноўленай сесіі — зусім іншы кантэкст.

Не выдаляйце тое, што не ідэнтыфікавалі

Незнаёмы інтэрфейс не абавязкова састарэлы. Вызначце яго ўладальніка, перш чым нешта выдаляць, і калі выдаленне сапраўды мэтазгоднае, скарыстайцеся апісаным у дакументацыі спосабам разборкі кліента або кіраванай канфігурацыяй. Выдаленне працоўнага тунеля, каб паглядзець, што будзе, — гэта тэст, які адказвае на пытанне, якога ніхто не задаваў.

Калі інтэрфейс належыць асяроддзю кантэйнераў або сеткавай прасторы імёнаў, створанай не вамі, уладальнік — на адлегласці адной каманды, і яго варта знайсці першым.

Гэтая асцярожнасць датычыцца і ip link set down, што выглядае зваротным і часта такім не з’яўляецца.

Што павінна даць праверка

Добрая праверка заканчваецца чатырма фактамі: назва і прастора імёнаў інтэрфейса, ягоныя сцягі і MTU, дэльта лічыльнікаў ад рэальнага запыту, і маршрут з адрасам, якія праграме сапраўды патрэбныя. Калі яны запісаныя, наступны крок відавочны і належыць пэўнаму ўзроўню. Без іх кожная наступная змена — здагадка з планам адкату.

Параўнайце гэтыя чатыры факты з тымі ж чатырма з працоўнай сесіі. Калі назва і прастора імёнаў супадаюць, але дэльта лічыльнікаў нулявая, запыт ніколі не дайшоў да тунеля. Калі дэльта здаровая, а маршрут паказвае ў іншае месца, тунель у парадку, а маршрутызацыя не. Менавіта гэтае параўнанне ператварае кучу вываду ў рашэнне.

Трымайце вывад разам з тыкетам, бо позняе параўнанне карыснае толькі калі бачна, што змянілася.

Потым завяршыце цыкл, зноў праверыўшы праграму, бо інтэрфейс ніколі не быў тым, што хвалявала карыстальніка.