Перарывістыя абрывы VPN: што фіксаваць кожны раз
Перарывісты абрыў — гэта спачатку праблема даных, а потым ужо праблема наладаў. Фіксуйце пяць палёў на кожны выпадак, а потым параўноўвайце этапы, перш чым мяняць налады.
Перарывістыя абрывы — гэта праблема збору даных раней, чым праблема канфігурацыі. Фіксуйце адны і тыя ж палі пры кожным здарэнні, інакш выпадкі немагчыма параўнаць. Змена трох наладаў пасля кожнай падзеі знішчае адзіныя доказы, якія ў вас былі.
Працэдура ніжэй займае каля дзвюх хвілін на выпадак і дае адзін радок на падзею. Яна мяркуе доступ толькі для чытання на прыладзе, якой вы кіруеце.
Вызначце палі да першай адмовы
Складзіце спіс палёў да таго, як што-небудзь зламаецца, бо шаблон, прыдуманы пасярэдзіне інцыдэнту, заўсёды прапускае слупок. Пяці палёў дастаткова для пачатку: мясцовы час з яго зрухам, трыгер, этап, які зламаўся, дакладны тэкст памылкі і тое, ці ўдалася новая спроба.
Трыгер заслугоўвае ўласнага слоўніка: прастой, аднаўленне пасля сну, пераход паміж сеткамі, усплёск нагрузкі, абнаўленне ўліковых даных або невядома. Пакідайце «невядома» пазначаным як невядома, а не запоўненым пазней па памяці. Найбольшую каштоўнасць нясе поле этапу, бо яно фіксуе, дзе спыніўся ланцуг, а не тое, што адчуваў карыстальнік. Тэкст памылкі трэба капіяваць даслоўна, бо пераказ губляе розніцу паміж двума падобнымі кодамі.
Пакідайце прабелы прабеламі. Шаблон, які патрабуе адказу, запрашае выдумку, а прыдуманы кантэкст горшы за пустое месца.
| Field | Example | Why it earns its place |
|---|---|---|
| Time with offset | 2026-11-03T09:14+08:00 | Orders events across sources in different zones |
| Trigger | resume from sleep | Separates a cause from a coincidence |
| Stage | handshake ok, no route | Names the boundary that failed |
Зафіксуйце тыя ж пяць фактаў у момант адмовы
Запускайце адны і тыя ж каманды ў адным і тым жа парадку кожны раз. Дзве хвіліны вываду лепшыя за фотаздымак значка ў трэі, а паслядоўнасць мае значэнне, калі пазней часовыя пазнакі не супадаюць.
date -Is journalctl -u wg-quick@wg0 --since "-2 min" --no-pager wg show wg0 latest-handshakes transfer ip route get 203.0.113.10 ping -c 3 -W 2 192.0.2.1
Першы радок пазначае назіранне зрухам, і гэта адзіны спосаб узгадніць тры крыніцы, запісаныя ў розных зонах. Вытрымка з журнала ахоплівае жыццёвы цыкл службы, а радок рукапаціскання кажа, ці адказаў партнёр наогул. Пошук маршруту называе інтэрфейс, які выкарыстаў бы канкрэтны пункт прызначэння, і гэта не той самы факт, што інтэрфейс існуе. Пінг на адрас тунеля паказвае, ці нешта перасякае злучэнне, а не ці дасягальны супрацьлеглы бок.
Запісвайце адзін радок на выпадак у бягучы журнал, толькі з гэтымі палямі і нічога іншага. Пасля пяці-шасці запісаў адсартуйце спачатку па трыгеры, потым па этапе. Заканамернасці выглядаюць як пары, якія паўтараюцца, а пара, якая ніколі не паўтараецца, хутчэй за ўсё выпадковасць.
Знайдзіце этап, які зламаўся
Мясцовая злучанасць, стан партнёра, маршруты і развязанне імёнаў адмаўляюць у розных месцах, і кожнае пакідае свой след. Калі інтэрфейс існуе, але ні адзін маршрут не паказвае на яго, адмова — гэта мясцовая палітыка. Калі пазнака часу рукапаціскання перастае расці, а інтэрфейс застаецца ўзнятым, адмова знаходзіцца вышэй па плыні.
Развязанне імёнаў належыць у той жа запіс. Рэзалвер, які ў панядзелак ішоў праз тунель, а ў аўторак праз мясцовую сетку, стварае адмовы, што выглядаюць выпадковымі на ўзроўні праграм.
Для дазволенага доступу да сервера суадносьце тую ж спробу, а не блізкае перападлучэнне. Захоўвайце першапачатковыя пазнакі часу і запісвайце любы зрух асобна, бо пераўтварэнне іх на месцы сцірае сведчанне пераўтварэння. Адна спроба, адзін набор пазнак часу, адна выснова.
Параўноўвайце па адной умове
Кантраляванае параўнанне змяняе адну значную ўмову і трымае няўдалы запуск побач з удалым. Перанясіце прыладу ў іншую сетку або адключыце адзін вынятак, і не мяняйце нічога іншага на тым жа кроку.
Трымайце няўдалы запуск у запісе. Выдаленне яго на карысць працоўнага страчвае адзіны доказ мяжы, якую вы спрабуеце вызначыць.
Дзяліцеся вытрымкай, а не профілем
Перш чым нешта адпраўляць, выдаліце паролі, токены, прыватныя ключы, староннія ідэнтычнасці і карысную нагрузку. Поўны профіль — гэта канфігурацыйны сакрэт, а не зводка злучэння, і яму не месца ў заяўцы.
Адпраўце вытрымку з пяццю палямі і скажыце, які этап, на вашу думку, адмовіў. Гэта дазваляе адміністратару разгледзець мяжу, якую вы назвалі, замест таго каб гартаць здымкі экрана з адключаным значком. Калі мяжа ўсё яшчэ неясная, наступны крок — яшчэ адзін кантраляваны запіс, а не чарговая змена наладаў.