Pregled Linux VPN interfejsa pomoću ip link, sloj po sloj

Ikona klijenta kaže povezano, interfejs postoji, a aplikacija i dalje ne dolazi ni do čega. Ta kombinacija je česta, jer virtuelni interfejs može ostati prisutan dok njegov udaljeni partner, adrese ili rute nedostaju. ip link je pravi prvi alat, i ujedno onaj koji se najlakše precijeni. Zastavice i brojači opisuju jedan sloj, a slojevi iznad njih padaju nezavisno. To je i alat koji ljudi citiraju kada žele dokazati da je tunel podignut, upravo tvrdnju koju on sam ne može podržati.

Pročitajte interfejs prije nego pročitate ikonu

Počnite sa ip -details link show dev tun0 kako je dokumentovano u priručniku za ip-link, zamjenjujući konvencionalno ime interfejsom koji vaš klijent zaista posjeduje. Zastavice, tip, MTU i identitet interfejsa korisna su zapažanja. Formulacija stanja virtuelnog interfejsa ne mora se ponašati kao indikator nosivosti fizičkog kabla, pa tretirajte UP kao tvrdnju o interfejsu, a ne o tunelu.

Ta razlika objašnjava najzbunjujući slučaj: interfejs koji ostaje dok se udaljena strana ponovo povezuje ili je nedostupna.

Postavke trajnosti mogu zadržati link upravo zato da ga ponovno povezivanje ne gradi iznova, što znači da prisustvo nije zdravlje.

Dodajte brojače i zahtjev koji bi ih trebao koristiti

Koristite podržani prikaz statistike ip -s link show dev tun0 i zabilježite brojače paketa i bajtova u oba smjera. Zatim generišite bezopasan zahtjev koji bi trebao proći kroz interfejs i uporedite relevantni smjer. Zahtjev koji je išao direktnom rutom druge aplikacije neće pomjeriti te brojače, i u tome je poenta vježbe.

Ako se brojač slanja pomjera, a brojač prijema ne, paket je otišao i ništa se nije vratilo. To je drugačiji problem od interfejsa koji nikada ništa nije prenio. Ako se oba brojača pomjeraju, a aplikacija i dalje ne radi, kvar je iznad interfejsa, što je napredak, a ne ćorsokak.

Uzmite očitavanje dvaput, jednom prije i jednom poslije, umjesto da vjerujete jednom snimku.

Adrese i rute su odvojeni koraci

Link može postojati bez prefiksa, konfiguracije rezolvera ili rute koja je potrebna aplikaciji. Provjerite adresu pomoću ip address show dev tun0, zatim provjerite koju bi rutu odredište odabralo pomoću ip route get za stvarni cilj. Ta tri zapažanja odgovaraju na tri različita pitanja, a samo se posljednje odnosi na prosljeđivanje.

Za IPsec mogu biti važni i sigurnosna politika i stanje asocijacije, a ne svaki IPsec dizajn se pojavljuje kao jednostavan tun interfejs. Traženje tun uređaja koji nikada nije trebao postojati brz je put do pogrešnog zaključka.

Zapišite tačan naziv, prostor imena i vrijeme uz svaki izlaz koji čuvate, jer istoimeni naziv u drugom kontejneru ili obnovljenoj sesiji predstavlja potpuno drugi kontekst.

Ne brišite ono što niste identifikovali

Nepoznat interfejs nije automatski zastario. Utvrdite njegovog vlasnika prije nego bilo šta uklonite, a kada je uklanjanje zaista namjera, koristite dokumentovano razgrađivanje klijenta ili upravljanu konfiguraciju. Brisanje živog tunela da vidite šta će se dogoditi test je koji odgovara na pitanje koje niko nije postavio.

Ako interfejs pripada kontejnerskom okruženju ili mrežnom prostoru imena koji niste kreirali, vlasnik je jednu komandu dalje i vrijedi ga prvo pronaći.

Taj oprez vrijedi i za ip link set down, što izgleda reverzibilno i često nije.

Šta vam pregled treba ostaviti

Dobar pregled završava s četiri činjenice: nazivom i prostorom imena interfejsa, njegovim zastavicama i MTU, deltom brojača iz stvarnog zahtjeva, te rutom i adresom koja je aplikaciji zaista potrebna. Kada su zapisane, sljedeći korak je očigledan i pripada određenom sloju. Bez njih je svaka dalja promjena nagađanje s planom vraćanja.

Uporedite te četiri činjenice s iste četiri iz radne sesije. Ako se naziv i prostor imena poklapaju, ali je delta brojača nula, zahtjev nikada nije stigao do tunela. Ako je delta zdrava, a ruta pokazuje drugdje, tunel je u redu, a rutiranje nije. To poređenje pretvara gomilu izlaza u odluku.

Čuvajte izlaz uz tiket, jer kasnije poređenje koristi samo ako vidite šta se promijenilo.

Zatim zatvorite petlju ponovnim testiranjem aplikacije, jer interfejs nikada nije bio ono do čega je korisniku stalo.