Profi adferiad gweinydd VPN ar ôl ailgychwyn: beth i'w wirio gyntaf

Ailgychwynnwch y gweinydd heb fod neb wedi mewngofnodi, yna cysylltwch o rwydwaith nad ydych yn ei reoli. Mae'r un prawf hwnnw'n ateb a yw'r adferiad yn un go iawn, oherwydd nid yw twnnel sy'n gweithio dim ond ar ôl i rywun redeg gorchymyn â llaw yn adferiad, mae'n atgyweiriad. Mae'r rhan fwyaf o wiriadau'n stopio'n rhy gynnar: mae'r demon yn dangos yn weithredol, mae'r rhyngwyneb yn codi, ac eto nid yw'r dudalen yn llwytho. Mae'r bwlch bron bob amser yn y dyfalbarhad o'r darnau o amgylch y twnnel, nid yng ngorchymyn y twnnel ei hun.

Pedwar perchennog, pedwar prawf gwahanol

Cyn yr ailgychwyn, enwch beth sydd i fod i ddod â'r twnnel yn ôl. Mae'r prawf a redwch a'r atgyweiriad a roddwch y ddau yn dibynnu ar yr ateb hwnnw, ac mae pedwar perchennog cyffredin: uned systemd ar gyfer demon VPN, uned achos wg-quick ar gyfer rhyngwyneb WireGuard, runtime cynwysyddion, neu broffil rheolwr rhwydwaith. Os na allwch enwi'r perchennog, stopiwch a dewch o hyd iddo, oherwydd prawf ailgychwyn heb lwybr cychwyn disgwyliedig dim ond yn dweud wrthych fod rhywbeth wedi digwydd.

Mae pob perchennog yn cadw ei ffurfweddiad yn rhywle gwahanol. Mae gweinydd OpenVPN a reolir gan systemd yn darllen ei ffurfweddiad ar gychwyn, felly beth bynnag sydd yn y ffeil ar adeg cychwyn yw'r hyn sy'n rhedeg. Mae rhyngwyneb wg-quick yn deillio ei gyfeiriadau, ei lwybrau a'i DNS o'r un ffeil, sy'n golygu na fydd rhyngwyneb a godir â llaw o gragen ac na chaiff byth ei alluogi fel uned yn dychwelyd. Mae cynhwysydd yn dod â'i bwynt mynediad yn ôl ond nid newidiadau tân y gwesteiwr oni bai bod y rheini'n byw y tu allan i'r cynhwysydd.

Llinell sylfaen yn gyntaf, neu nid yw'r canlyniad yn golygu dim

Cofnodwch y cyflwr gweithio tra bo'n gweithio: cyfeiriadau ar y twnnel, llwybrau ar gyfer is-rwyd y cleient, rheolau NAT neu anfon ymlaen, y soced gwrando, a'r sysctl anfon ymlaen. Mae ip addr show wg0, ip route, nft list ruleset neu iptables-save, ss -lunp, a sysctl net.ipv4.ip_forward yn ddigon ar y rhan fwyaf o westeiwyr.

Cofnodwch sut mae'r gwasanaeth wedi'i ffurfweddu i gychwyn, nid yn unig ei fod yn rhedeg. Mae systemctl is-enabled wg-quick@wg0 a systemctl is-active wg-quick@wg0 yn ateb cwestiynau gwahanol, a'r cyflwr galluogedig yw'r un sy'n bwysig ar gychwyn, fel y disgrifir yn systemctl(1). Ar gyfer OpenVPN, gwiriwch pa dempled mae'r gwesteiwr yn ei ddefnyddio, gan fod openvpn@server a openvpn-server@server yn unedau gwahanol â diofynau gwahanol.

Rhedwch yr ailgychwyn a darllenwch y methiant cyntaf

Ailgychwynnwch yn fwriadol, yn ystod ffenestr a ddewiswyd gennych, gyda chonsol neu lwybr all-fand wedi'i agor. Gwyliwch drefn y digwyddiadau yn hytrach na'r cyflwr terfynol: gwesteiwr yn gyrraeddadwy, uned wedi'i actifadu, rhyngwyneb yn bresennol, llwybrau wedi'u gosod, rheolau tân yn bresennol, gwrandawr wedi'i rwymo, cleient wedi'i dderbyn. Y cam cyntaf nad yw'n digwydd yw'r darganfyddiad; mae popeth ar ei ôl yn sŵn.

Gall demon fod yn weithredol tra bo'r twnnel yn anfuddiol, a dyna'r pas ffug mwyaf cyffredin. Gall y cychwyn gwblhau cyn i'r rhwydwaith fod ar-lein os yw'r uned yn aros am network.target yn unig yn lle network-online.target. Gall ffeiliau a gyfeirir atynt fel tystysgrifau, allweddi neu CRL fod yn annarllenadwy ar y foment honno oherwydd nad yw mowntio neu lwybr cyfrinachau yn barod eto. Nid yw'r un o'r ddau broblem yn dangos yn systemctl status nes i chi ddarllen y cylchgrawn ar gyfer yr uned.

Profwch o'r tu allan i'r gwesteiwr. Gall cleient ar yr un LAN lwyddo trwy lwybr na fyddai unrhyw gleient o bell yn ei ddefnyddio, ac nid yw sesiwn SSH i'r blwch yn profi dim am y twnnel. Cysylltwch, datryswch enw mewnol, cyrhaeddwch yr adnodd preifat, yna ailgysylltwch unwaith i gadarnhau bod cyflwr dirymu ac allweddi yn dal i fod yn berthnasol.

Y tair amod sy'n penderfynu eich atgyweiriad

Os daw'r twnnel yn ôl ond na all cleientiaid gyrraedd dim, mae'r methiant yn llwybro neu'n ddyfalbarhad NAT. Os na all cleientiaid hyd yn oed gwblhau ysgwyd llaw, mae'r methiant yn y rhyngwyneb neu yn y deunydd dilysu. Os na fydd y gwasanaeth byth yn cychwyn, mae'r methiant yn y ffeil uned neu yn ei ddibyniaethau. Mae'r tair cangen hynny'n arwain at atgyweiriadau gwahanol, a dyna pam mae ailgychwyn dall heb linell sylfaen yn costio mwy o amser nag y mae'n ei arbed.

Gwnewch yr atgyweiriad lle mae'r gosodiad yn cael ei berchenogi. Rhowch anfon ymlaen mewn sysctl drop-in, rhowch reolau NAT yn y set rheolau sy'n llwytho ar gychwyn, galluogwch yr uned yn hytrach na'i chychwyn, a chadwch gyfrinachau ar lwybr sy'n bodoli cyn i'r uned gychwyn. Mae ychwanegu cwsg at yr uned yn cuddio dibyniaeth yn lle ei datgan.

Cofnodwch y canlyniad yn y runbook

Ysgrifennwch beth ddaeth yn ôl ei hun, beth bu'n rhaid i chi ei gychwyn, a pha mor hir y parhaodd y bwlch. Cynhwyswch yr union orchmynion a ddefnyddiwyd gennych i wirio, fel bod y person nesaf yn ailadrodd y prawf yn lle dyfeisio un. Os oedd angen gorchymyn â llaw ar unrhyw gam, mae'r gorchymyn hwnnw'n perthyn i ffurfweddiad, nid i'r runbook fel cam parhaol.

Yna trefnwch y prawf nesaf ar gyfer ar ôl y newid nesaf i bentyrrau rhwydwaith y gwesteiwr, nid ar gyfer dyddiad calendr chwe mis i ffwrdd. Y modd methu yr ydych yn gwarchod yn ei erbyn yw gorchymyn dros dro a deimlai'n barhaol, ac mae'r rheini'n ymddangos yn union pan fydd rhywun yn golygu rheolau tân neu'n symud gwasanaeth i uned newydd.