Sledujte VPN na routeru, aniž byste věřili jedné kontrolce stavu
Stav protějšku, zvolená trasa a povolená zkouška aplikace odpovídají na různé otázky. Alarmujte na hranici, která selhala, ne na zelené ikoně.
Stavová stránka hlásí připojeno, kontrolka svítí zeleně a kancelář se nedostane na souborový server. Jeden z těchto údajů se týká tunelu a druhý cesty skrz něj. Sledovat obojí je rozdíl mezi alarmem, na který můžete reagovat, a alarmem, který se naučíte ignorovat.
Pět kontrol, v pořadí, od protějšku ven.
Kontrola 1: stav protějšku nebo asociace
Každý protokol vystavuje vlastní stav. WireGuard ukazuje poslední handshake a přenosové počítadla pro každý protějšek přes wg show. OpenVPN zapisuje stav relace do stavového souboru nebo do rozhraní pro správu a IPsec vystavuje bezpečnostní asociace nástroji, jako je ipsec statusall. Past spočívá v tom číst časové razítko jako rozsudek: nečinný protějšek WireGuard, který nemá co poslat, nebude mít nedávný handshake, a to není výpadek.
Porovnejte časové razítko s očekávaným provozem a nastavením keepalive, než někoho zavoláte.
Kontrola 2: zvolená trasa
Rozhraní tunelu může existovat, i když do něj nic nesměruje. Zkontrolujte směrovací tabulku pro cíl, na kterém vám záleží, ne pro vlastní podsíť tunelu. Pokud prefix chybí nebo míří jinam, stav protějšku je irelevantní.
Tato kontrola zachytí poruchu, kterou stavová kontrolka nikdy neukáže.
Užitečná druhá kontrola porovnává také zdrojovou adresu. ip route get 10.20.5.10 vrací další skok, rozhraní a preferovaný zdroj a špatný zdroj stačí k přerušení zpětného provozu na vzdálené straně. Jednou si poznamenejte očekávanou trojici a pak alarmujte, když se kterýkoli prvek změní. Ten jediný řádek zachytí změny NAT, výpadky rozhraní a chyby směrování podle zásad.
Kontrola 3: povolená cesta aplikace
Otestujte něco reprezentativního pro skutečný požadavek. Ping z routeru vychází z vlastní adresy a zásad routeru, které se mohou lišit od předávaného provozu LAN, a mnoho hostitelů omezuje ICMP. Pokud je požadavkem soukromá služba, testujte tuto službu na jejím skutečném portu.
Udržujte objem zkoušky skromný. Monitorovací smyčka by se neměla stát provozem, který měří.
Kontrola 4: co se změnilo a kdy
Propojte změny WAN, obnovy klíčů, odvolání tras a selhání aplikací na jedné časové ose. Odlište selhání tunelu od záložní trasy, která tiše obnovuje běžný přístup k internetu, protože obě dávají stejné stížnosti uživatelů a opačné diagnózy. Chyby časového pásma pořadí obrátí, proto před porovnáním normalizujte. Právě časová osa mění čtyři kontroly v příčinu.
Uchovávejte záznamy pro přechody, ne pro obsah.
Kontrola 5: alarm má pojmenovat hranici
Alarm, který řekne VPN je dole, pošle člověka v polovině případů na špatné místo. Ten, který řekne handshake protějšku je starý dvanáct minut, trasa do 10.20.0.0/16 chybí nebo zkouška na port 445 selhává, ukazuje na konkrétní kontrolu.
Uchovávejte provozní počítadla místo procházení obsahů. Počítadla odpovídají na monitorovací otázku, aniž by sbírala obsah, který nepotřebujete.
A nechte politiku přepnutí rozhodnout, co bude dál. Monitorování má určit, která hranice selhala, ne povolit široké obejití pokaždé, když zkouška selže. Příručka OpenVPN 2.6 popisuje stavový soubor a rozhraní pro správu, které činí první kontrolu skriptovatelnou.