Monitro VPN llwybrydd heb drystio un golau statws

Mae'r dudalen statws yn dweud cysylltiedig, mae'r golau'n wyrdd, ac ni all y swyddfa gyrraedd y gweinydd ffeiliau. Mae un o'r ffeithiau hynny am y twnnel a'r llall am y llwybr drwyddo. Mae monitro'r ddau yw'r gwahaniaeth rhwng rhybudd y gallwch weithredu arno a'r un y byddwch yn dysgu ei anwybyddu.

Pum gwiriad, mewn trefn, o'r cymar allan.

Gwiad 1: cyflwr y cymar neu'r cymdeithasiad

Mae pob protocol yn datgelu ei gyflwr ei hun. Mae WireGuard yn dangos yr handshake diweddaraf a chyfrifwyr trosglwyddo pob cymar trwy wg show. Mae OpenVPN yn ysgrifennu cyflwr sesiwn i'w ffeil statws neu ei ryngwyneb rheoli, ac mae IPsec yn datgelu cymdeithasiadau diogelwch trwy offer fel ipsec statusall. Y trap yw darllen stamp amser fel barn: ni fydd cymar WireGuard segur heb ddim i'w anfon yn gwneud handshake yn ddiweddar, ac nid yw hynny'n golled.

Cymharwch y stamp amser â'r traffig a ddisgwylir a'r gosodiadau keepalive cyn i chi alw ar unrhyw un.

Gwiad 2: y llwybr a ddewiswyd

Gall rhyngwyneb twnnel fodoli tra nad oes dim yn llwybro iddo. Edrychwch ar y tabl anfon am y cyrchfan sy'n bwysig i chi, nid am is-rwyd y twnnel ei hun. Os yw'r rhagddodiad ar goll neu'n pwyntio i rywle arall, mae cyflwr y cymar yn amherthnasol.

Mae'r gwiad hwnnw'n dal y methiant nad yw golau statws byth yn ei ddangos.

Mae ail wiriad defnyddiol hefyd yn cymharu'r cyfeiriad ffynhonnell. Mae ip route get 10.20.5.10 yn dychwelyd y naid nesaf, y rhyngwyneb a'r ffynhonnell a ffefrir, ac mae ffynhonnell anghywir yn ddigon i dorri traffig dychwelyd y pen draw. Cofnodwch y triawd a ddisgwylir unwaith, yna rhybuddio pan fydd unrhyw elfen yn newid. Mae'r un llinell honno'n dal newidiadau NAT, aflonyddwch rhyngwyneb a chamgymeriadau llwybro polisi.

Gwiad 3: llwybr cymhwysiad a ganiateir

Prawfwch rywbeth sy'n gynrychioliadol o'r gwir ofyniad. Mae ping o'r llwybrydd yn gadael o gyfeiriad a pholisi'r llwybrydd ei hun, a allai fod yn wahanol i draffig LAN a anfonwyd ymlaen, ac mae llawer o westeion yn cyfyngu ICMP. Os yw'r gofyniad yn wasanaeth preifat, profwch y gwasanaeth hwnnw ar ei wir borthladd.

Cadwch gyfaint y prawf yn gymedrol. Ni ddylai dolen fonitro ddod yn draffig y mae'n ei fesur.

Gwiad 4: beth newidiodd a phryd

Cydberthynwch newidiadau WAN, ailosod allweddi, tynnu llwybrau a methiannau cymhwysiad ar un llinell amser. Gwahaniaethwch fethiant twnnel oddi wrth llwybr wrth gefn sy'n adfer mynediad rhyngrwyd cyffredin yn dawel, oherwydd maent yn cynhyrchu adroddiadau defnyddiwr union yr un fath a diagnosisau cyferbyniol. Bydd gwallau cylchfa amser yn gwrthdroi'r drefn, felly normaleiddiwch cyn cymharu. Y llinell amser sy'n troi pedwar gwiad yn achos.

Cadwch y cofnodion ar gyfer y trosglwyddiadau, nid ar gyfer y llwyth.

Gwiad 5: dylai'r rhybudd enwi'r ffin

Mae rhybudd sy'n dweud bod VPN i lawr yn anfon rhywun i'r lle anghywir hanner yr amser. Mae un sy'n dweud bod handshake y cymar wedi dyddio ers deuddeg munud, bod y llwybr i 10.20.0.0/16 ar goll, neu fod y prawf i borthladd 445 yn methu, yn pwyntio at wiriad penodol.

Cadwch gyfrifwyr gweithredol yn hytrach na phori llwythi. Mae cyfrifwyr yn ateb y cwestiwn monitro heb gasglu cynnwys nad oes ei angen arnoch.

A gadewch i'r polisi failover benderfynu beth sy'n digwydd nesaf. Dylai monitro nodi pa ffin a fethodd, nid awdurdodi osgoi eang bob tro y bydd prawf yn methu. Mae llawlyfr OpenVPN 2.6 yn dogfennu'r ffeil statws a'r rhyngwyneb rheoli sy'n gwneud y gwiad cyntaf yn sgriptadwy.