Nadzirite VPN na ruteru bez povjerenja u jedno statusno svjetlo

Statusna stranica kaže povezano, svjetlo je zeleno, a ured ne može doći do datotečnog servera. Jedna od tih činjenica tiče se tunela, a druga puta kroz njega. Nadziranje oboje razlika je između alarma na koji možete reagovati i onog koji naučite ignorisati.

Pet provjera, po redu, od peera prema van.

Provjera 1: stanje peera ili asocijacije

Svaki protokol izlaže vlastito stanje. WireGuard prikazuje posljednji handshake i brojače prijenosa po peeru kroz wg show. OpenVPN upisuje stanje sesije u statusnu datoteku ili upravljačko sučelje, a IPsec izlaže sigurnosne asocijacije kroz alate kao što je ipsec statusall. Zamka je čitati vremensku oznaku kao presudu: miran WireGuard peer koji nema šta poslati neće nedavno izvršiti handshake, i to nije prekid.

Uporedite vremensku oznaku s očekivanim prometom i postavkama keepalive prije nego što ikoga pozovete.

Provjera 2: odabrana ruta

Sučelje tunela može postojati dok ništa ne ruta u njega. Provjerite tablicu prosljeđivanja za odredište koje vas zanima, ne za vlastitu podmrežu tunela. Ako prefiks nedostaje ili pokazuje negdje drugdje, stanje peera je nebitno.

Ta provjera hvata kvar koji statusno svjetlo nikada ne pokaže.

Korisna druga provjera upoređuje i izvorišnu adresu. ip route get 10.20.5.10 vraća sljedeći hop, sučelje i preferirano izvorište, a pogrešno izvorište dovoljno je da prekine povratni promet na udaljenom kraju. Zabilježite očekivanu trojku jednom, zatim alarmirajte kada se bilo koji element promijeni. Taj jedan red hvata promjene NAT-a, podrhtavanja sučelja i greške usmjeravanja po politici.

Provjera 3: dopuštena putanja aplikacije

Provjerite nešto reprezentativno za stvarni zahtjev. Ping s rutera kreće s ruterove vlastite adrese i politike, što se može razlikovati od proslijeđenog LAN prometa, a mnogi hostovi ograničavaju ICMP. Ako je zahtjev privatna usluga, testirajte tu uslugu na njenim stvarnim vratima.

Držite obim provjere skromnim. Nadzorna petlja ne smije postati promet koji mjeri.

Provjera 4: šta se promijenilo i kada

Povežite WAN promjene, obnavljanje ključeva, povlačenje ruta i kvarove aplikacija na jednoj vremenskoj liniji. Razlikujte kvar tunela od rezervne rute koja tiho vraća običan pristup internetu, jer one daju identične korisničke prijave i suprotne dijagnoze. Greške vremenske zone obrnut će redoslijed, pa normalizujte prije poređenja. Vremenska linija je ono što četiri provjere pretvara u uzrok.

Čuvajte dnevnike za prelaze, ne za sadržaj.

Provjera 5: alarm treba imenovati granicu

Alarm koji kaže VPN je pao u pola slučajeva šalje čovjeka na pogrešno mjesto. Onaj koji kaže da je handshake peera star dvanaest minuta, da ruta do 10.20.0.0/16 nedostaje ili da provjera porta 445 ne uspijeva, pokazuje na konkretnu provjeru.

Držite operativne brojače umjesto pregledavanja sadržaja. Brojači odgovaraju na nadzorno pitanje bez prikupljanja sadržaja koji vam ne treba.

I neka politika prebacivanja odluči šta slijedi. Nadzor treba identificirati koja je granica pala, a ne odobravati široko zaobilaženje svaki put kad provjera ne uspije. OpenVPN 2.6 priručnik dokumentuje statusnu datoteku i upravljačko sučelje koji prvu provjeru čine skriptabilnom.