Як праверыць стабільнасць VPN, не запісваючы свае прагляды

Вы хочаце ведаць, ці вытрымае тунель сон ноўтбука, пераход паміж пунктамі доступу, ці гадзіну размоў, і пры гэтым не жадаеце аддаваць камусьці журнал усяго, што вы чытаеце, пакуль высвятляеце гэта. Тры рэчы адказваюць на гэта: фіксаваны зонд, тыя ж чатыры факты, выбраныя па раскладзе, і падзея, якая іх змяніла, запісаная. Дзесяць хвілін гэтага лепш за цэлую пасляабедзенную гадзіну назірання за старонкай, якая не загружаецца. Журнал, які ў вас у выніку застанецца, таксама дастаткова кароткі, каб далучыць яго да тыкета, не вымараючы палову.

Вызначце, што павінна значыць «стабільны»

«VPN адваліўся» — гэта чатыры розныя збоі пад адным словам. Пір можа страціць рукапоціск, маршрут можа вярнуцца да лакальнага шлюза, развязанне імёнаў можа пайсці да сервера, які ніколі не адказвае праз тунель, або ўсё гэта можа быць у парадку, пакуль адно прыкладанне ўсё яшчэ падае. Вызначце, якое з іх адпавядае вашаму сімптому, перш чым нешта збіраць, бо кожнае патрабуе іншага зонда. Затым выберыце інтэрвал, які вы зможаце вытрымаць: адна выбарка кожныя трыццаць секунд на працягу дзесяці хвілін зловіць роўмінг, не ператвараючы тэст у працоўную нагрузку.

Калі скарга — гэта завісанне званка, калі вы ідзяце на кухню, то ўласцівасць, якая вам патрэбна, — ці завяршаецца свежы запыт пасля роўмінгу. Гэта правяраецца ў адзін радок і зусім не запісвае ніякіх праглядаў.

Зафіксуйце адзін бясшкодны зонд

Выберыце прызначэнне, да якога вам дазволена звяртацца і якое не звязана з вашымі ўліковымі запісамі: хост дакументацыі, унутраная канчатковая кропка стану або сам шлюз тунеля. Зрабіце аперацыю паўторнай, напрыклад curl -s -o /dev/null -w "%{http_code} %{time_total}\n" https://example.com/, які друкуе адзін радок на спробу. Трымайце гэты фармат вываду нязменным на ўвесь прагон. Код стану і працягласць, сабраныя аднолькава двойчы, — гэта тое, што робіць два прагоны параўнальнымі.

Супраціўляйцеся сайту, на які вы насамрэч абапіраецеся. Старонка банка або вэбпошты цягне ў вымярэнне трэкеры, перанакіраванні і асабісты змест, а таксама друкуе ідэнтыфікатары сеанса ў тое, што вы пазней уставіце ў тыкет. Выкарыстоўвайце адно і тое ж прызначэнне на ўсім даследаванні і запішыце яго побач з інтэрвалам.

Збірайце чатыры факты

Стан піра, маршрут, развязальнік і адзін свежы запыт — гэта чатыры назіранні, і кожнае мае танную крыніцу. У WireGuard wg show wg0 latest-handshakes дае пазнаку часу піра, а ip route get 1.1.1.1 паказвае, які інтэрфейс выкарыстае ядро. У OpenVPN той жа стан ляжыць у файле стану, які запісвае --status /run/openvpn/status 10, або за state на інтэрфейсе кіравання. Кліент Windows застаецца ў PowerShell з Get-NetAdapter і Resolve-DnsName.

Зацыкліце іх у адным тэрмінале, каб кожны радок меў пазнаку часу: for i in $(seq 1 20); do date -Is; wg show wg0 latest-handshakes; ip route get 1.1.1.1; sleep 30; done. Гэты цыкл пакрывае тры з шасці палёў журнала; версія кліента ўносіцца адзін раз угары, а пазнака часу падзеі дадаецца, калі падзея адбываецца.

Развязальнік — гэта факт, які людзі прапускаюць, і dig +short яго хавае, бо гэтая форма друкуе толькі адказ. Запытайце сервер явна праз dig example.com | grep SERVER: або выкарыстайце nslookup example.com там, дзе dig не ўсталяваны, — ён друкуе адрас сервера, да якога пайшоў запыт. Стары рукапоціск на прастойным тунелі таксама не аўтаматычна памылка, бо WireGuard перазаключае ключы толькі тады, калі ёсць трафік, які трэба абараніць.

Выклічце падзею, а не ўцечку

Вазьміце пяць ціхіх хвілін як базавую лінію перад падзеяй, якая вам важная, ці гэта закрыццё вечка, пераход да іншага пункта доступу або пераключэнне на кропку доступу тэлефона. Запішыце час, калі вы яе выклікалі, каб выбаркі па абодва бакі можна было выраўнаваць.

Без гэтай пазнакі часу журнал паказвае прагал, і ніхто не можа сказаць, ці яго зачыніў кліент, ці сетка. Два прагоны з падзеяй у розных месцах каштуюць больш за дзесяць без яе. Карыстайцеся ўласнымі сродкамі кліента для адключэння і паўторнага падключэння. Не адключайце kill switch і не выштурхоўвайце трафік за межы тунеля, каб пабачыць, што адбудзецца, бо на кіраваным ноўтбуку гэта парушэнне палітыкі, а на вашай уласнай машыне стварае менавіта тую ўразлівасць, якую вы тэставалі.

Трымайце журнал дастаткова малым, каб давесці яго да канца

Шэсць палёў на выбарку: час, версія кліента, канчатковая кропка, сетка доступу, падзея, вынік. Пакіньце па-за ўвагай адрасы, карысныя нагрузкі, токены і ўсё, што нясе ідэнтыфікатар сеанса, бо журнал — гэта доказ пра тунель і нішто іншае. Трымайце яго побач з цыклам, каб наступны чалавек мог перазапусціць яго, не пытаючыся, што азначаюць слупкі.

Пасля змены паўтарыце тэст з тым жа зондам і тым жа інтэрвалам; калі змяніць прызначэнне і версію кліента разам, вынік не належыць ні аднаму з іх. Чысты дзесяціхвілінны прагон — гэта доказ для тых умоў і таго прызначэння, а не абяцанне пра сетку гатэля наступнага месяца. Трымайце скрыпт і шаблон журнала там, дзе вы іх знойдзеце. дакументаваныя абмежаванні WireGuard варта прачытаць, перш чым прыпісваць абрыў пратаколу.