Sut i wirio a yw twnel VPN Linux wir yn gweithio

Mae cron yn ailgychwyn VPN hollol iach bob deng munud, ac mae'r un swydd yn gadael un marw yn rhedeg am wythnos. Mae'r ddau fethiant yn dod o drin «ar waith» fel un ffaith pan fo hi o leiaf bedair. Gall dyfais fod wedi'i galluogi'n weinyddol, wedi'i llwybrwio'n gywir, wedi'i hamgryptio'n llawn, a phwynt heb gludo dim defnyddiol. Gwahanwch yr arsylwadau yn gyntaf, ac mae'r gwiriad bron yn ysgrifennu'i hun.

Mae baneri'r ddolen yn disgrifio'r ddyfais, nid y llwybr

Mae'r gwiriad y mae pawb yn ei gopïo yn chwilio am gyfeiriad caledwedd o seroau i gyd. Mae'r tric hwnnw yn gwahanu rhyngwyneb go iawn oddi wrth ddeiliad lle mewn rhai gyrwyr ac yn profi dim yn y gweddill, oherwydd nad oes gan ddyfais tun gyfeiriad MAC i'w riportio yn y lle cyntaf. ip -brief link show tun0 yn rhoi baneri yn lle: UP yn golygu bod gweinyddwr wedi galluogi'r ddyfais, a LOWER_UP yn golygu bod y gyrrwr yn ystyried y ddolen yn ddefnyddiadwy. Wedi'u darllen gyda'i gilydd, maent yn dweud bod y ddyfais yn bodoli ac nad yw wedi'i chau'n weinyddol. Nid yw'r naill na'r llall yn dweud bod gan becyn le i fynd.

OpenVPN yn creu ei ddyfais tun cyn gosod llwybrau, felly gall y baneri edrych yn berffaith tra nad oes dim yn cael ei lwybrwio. Triniwch nhw fel rhagofyniad, byth fel yr ateb.

Gofynnwch i ble bydd pecyn yn mynd

Mae chwiliad llwybr yn ateb y cwestiwn na all y baneri ei ateb. ip route get 10.8.0.1 from 10.8.0.2 yn enwi'r rhyngwyneb, y cyfeiriad ffynhonnell a'r tabl y byddai'r cnewyllyn yn ei ddefnyddio, sef yn union yr hyn y mae angen profi twnel hollt yn ei erbyn. Heb y cyfeiriad ffynhonnell rydych chi'n gofyn rhywbeth arall, ac gyda llwybrwio polisi gall yr ateb fod yn wahanol fesul ffynhonnell. Dyma'r prawf gonest rhataf, oherwydd ei fod yn ymgynghori â'r union reolau y bydd eich traffig yn eu defnyddio.

Ar gyfer WireGuard, ychwanegwch yr ysgwyd llaw. wg show yn argraffu stamp amser yr ysgwyd llaw ddiwethaf fesul cymar, ac mae stamp amser sydd wedi stopio symud ymlaen yn golygu bod y cymar wedi mynd, beth bynnag y dweud baneri'r rhyngwyneb. Mae rhyngwyneb wedi'i ffurfweddu heb ysgwyd llaw diweddar yn un o'r ffug-bositifau mwyaf cyffredin mewn monitro cartref.

Mae tabl 220 yn adrodd stori IPsec

strongSwan yn gosod llwybrau ar gyfer dewisyddion a thrafodwyd yn nhabl 220 pan fydd gosod llwybrau wedi'i alluogi. ip route list table 220 felly yn gwahanu'r hyn a thrafodwyd oddi wrth yr hyn a lwybrwyd: tabl gwag wrth ymyl cysylltiad wedi'i lwytho yn golygu bod yr SA IKE a CHILD wedi codi tra nad oes unrhyw draffig yn cael ei gyfeirio iddynt. Gwiriwch ip xfrm state wrth ei ymyl, gan ei fod yn rhestr yr asesiadau diogelwch sydd wedi'u gosod a'u pennau terfynol.

Polisi trap yw'r achos i fod yn wyliadwrus ohono. Mae'n aros am draffig diddorol yn lle ei lwybrwio, felly mae'r tabl yn aros yn wag nes bod rhywbeth yn cychwyn y twnel.

Cyflwr rheolwr a chyflwr daemon yw dwy restr wahanol

Mae NetworkManager yn rhestr yn unig y cysylltiadau mae'n berchen arnynt. nmcli -t -f NAME,TYPE connection show --active yn dychwelyd dim ar gyfer twnel a gychwynnwyd yn uniongyrchol gan wg-quick neu gan daemon OpenVPN.

Mae'r gwahaniaeth hwnnw'n bwysig pan fo sgript yn gorfod penderfynu pa un o ddau reolwr i ofyn iddo. Dewiswch yr un sy'n berchen ar y twnel go iawn ar y llu hwn ac anwybyddwch dawelwch y llall. Os bod y ddau, penderfynwch pa un sydd awdurdodol ac analluogwch yr ail, oherwydd mae dau reolwr yn ailysgrifennu llwybrau ar un rhyngwyneb yn cynhyrchu methiannau na all neb eu hailadrodd. Mae cofnod ar goll yn wybodaeth am y rheolwr, nid am y twnel.

Gosodwch y cam nesaf ar y prawf y mae'n ei angen

Nid yw arolygu porth UDP yn profi dim am barodrwydd, gan nad oes gan UDP ysgwyd llaw ac nc -u yn llwyddo cyn gynted ag y bydd y pecyn yn gadael. Archwiliwch beth mae'r cam nesaf yn ei ddefnyddio mewn gwirionedd: cysylltiad TCP â'r porth wedi'i anfon ymlaen, cais i llu o fewn y twnel, enw sy'n datrys yn unig yno. Ffinio'r aros ag amserlen a nifer ymgeisiau, a methwch yn uchel pan fydd yn dod i ben.

Mae bachau yn well nag arolygu pan fo'r cleient yn eu cynnig. --up a --down sgriptiau OpenVPN yn rhedeg ar ôl i'r rhyngwyneb newid cyflwr, sy'n dileu'r ras gyfan gwbl, ond maent yn rhedeg gyda'r breintiau a gadwodd y daemon. Os aeth OpenVPN i lawr i gyfrif heb fraint drwy user a group, mae'r bach yn rhedeg fel y cyfrif hwnnw. Yna mae ailgychwyn gwasanaeth system yn gofyn i sudo ganiatáu yn union y gorchymyn hwnnw. Rhowch y cais ailgynnig i reolwr y gwasanaeth yn lle dolen cron: mae polisi ailgychwyn wedi'i ffinio â therfyn cychwyn yn datgelu twnel wedi torri, tra bod dolen heb ffin yn ei guddio'n amhenodol.