Έλεγχος διεπαφής VPN σε Linux με ip link, επίπεδο προς επίπεδο

Το εικονίδιο του πελάτη λέει συνδεδεμένο, η διεπαφή υπάρχει, και η εφαρμογή εξακολουθεί να μη φτάνει πουθενά. Ο συνδυασμός αυτός είναι συνηθισμένος, γιατί μια εικονική διεπαφή μπορεί να παραμένει παρούσα ενώ λείπουν ο απομακρυσμένος ομόλογός της, οι διευθύνσεις ή οι διαδρομές της. ip link είναι το σωστό πρώτο εργαλείο, και ταυτόχρονα το πιο εύκολο να το παραερμηνεύσεις. Οι σημαίες και οι μετρητές περιγράφουν ένα επίπεδο, και τα επίπεδα από πάνω τους αποτυγχάνουν ανεξάρτητα. Είναι επίσης το εργαλείο που επικαλούνται όσοι θέλουν να αποδείξουν ότι η σήραγγα είναι ενεργή, ακριβώς ο ισχυρισμός που δεν μπορεί να στηρίξει μόνο του.

Διαβάστε τη διεπαφή πριν διαβάσετε το εικονίδιο

Ξεκινήστε με ip -details link show dev tun0 όπως τεκμηριώνεται στο εγχειρίδιο του ip-link, βάζοντας τη διεπαφή που πραγματικά κατέχει ο πελάτης σας αντί για το συμβατικό όνομα. Οι σημαίες, ο τύπος, το MTU και η ταυτότητα της διεπαφής είναι χρήσιμες παρατηρήσεις. Η διατύπωση κατάστασης μιας εικονικής διεπαφής δεν χρειάζεται να συμπεριφέρεται όπως η ένδειξη φορέα ενός φυσικού καλωδίου, οπότε αντιμετωπίστε το UP ως δήλωση για τη διεπαφή και όχι για τη σήραγγα.

Αυτή η διάκριση εξηγεί την πιο μπερδεμένη περίπτωση: μια διεπαφή που επιμένει ενώ η απομακρυσμένη πλευρά επανασυνδέεται ή είναι απρόσιτη.

Οι ρυθμίσεις επιμονής μπορούν να κρατούν τη ζεύξη ακριβώς για να μην την ξαναχτίζει η επανασύνδεση, που σημαίνει ότι η παρουσία δεν είναι υγεία.

Προσθέστε μετρητές και ένα αίτημα που θα έπρεπε να τους χρησιμοποιεί

Χρησιμοποιήστε την υποστηριζόμενη προβολή στατιστικών ip -s link show dev tun0, και σημειώστε τους μετρητές πακέτων και byte και στις δύο κατευθύνσεις. Έπειτα δημιουργήστε ένα ακίνδυνο αίτημα που θα έπρεπε να διασχίσει τη διεπαφή και συγκρίνετε τη σχετική κατεύθυνση. Ένα αίτημα που πήρε την άμεση διαδρομή άλλης εφαρμογής δεν θα κινήσει αυτούς τους μετρητές, και αυτό είναι το νόημα της άσκησης.

Αν ο μετρητής αποστολής κινείται και ο μετρητής λήψης όχι, το πακέτο έφυγε και δεν γύρισε τίποτα. Αυτό είναι διαφορετικό πρόβλημα από μια διεπαφή που δεν μετέφερε ποτέ τίποτα. Αν κινούνται και οι δύο μετρητές και η εφαρμογή εξακολουθεί να αποτυγχάνει, η βλάβη βρίσκεται πάνω από τη διεπαφή, που είναι πρόοδος και όχι αδιέξοδο.

Πάρτε τη μέτρηση δύο φορές, μία πριν και μία μετά, αντί να εμπιστευτείτε ένα μόνο στιγμιότυπο.

Οι διευθύνσεις και οι διαδρομές είναι ξεχωριστά βήματα

Μια ζεύξη μπορεί να υπάρχει χωρίς το πρόθεμα, τη ρύθμιση του resolver ή τη διαδρομή που χρειάζεται η εφαρμογή. Ελέγξτε τη διεύθυνση με ip address show dev tun0, μετά ελέγξτε ποια διαδρομή θα διάλεγε ο προορισμός με ip route get για τον πραγματικό στόχο. Αυτές οι τρεις παρατηρήσεις απαντούν σε τρία διαφορετικά ερωτήματα, και μόνο η τελευταία αφορά την προώθηση.

Στο IPsec μπορεί να μετράνε και η πολιτική ασφαλείας και η κατάσταση συσχέτισης, και δεν εμφανίζεται κάθε σχεδίαση IPsec ως απλή διεπαφή tun. Το να ψάχνεις για συσκευή tun που δεν επρόκειτο ποτέ να υπάρξει είναι γρήγορος δρόμος για λάθος συμπέρασμα.

Καταγράψτε το ακριβές όνομα, τον χώρο ονομάτων και τον χρόνο μαζί με κάθε έξοδο που κρατάτε, γιατί ένα όνομα που μοιάζει ίδιο σε άλλο container ή σε αποκατεστημένη συνεδρία αντιπροσωπεύει εντελώς διαφορετικό πλαίσιο.

Μη διαγράφετε ό,τι δεν έχετε ταυτοποιήσει

Μια άγνωστη διεπαφή δεν είναι αυτόματα παρωχημένη. Προσδιορίστε τον ιδιοκτήτη της πριν αφαιρέσετε οτιδήποτε, και όταν η αφαίρεση είναι πραγματικά σκόπιμη, χρησιμοποιήστε την τεκμηριωμένη αποσυναρμολόγηση του πελάτη ή τη διαχειριζόμενη ρύθμιση. Το να σβήσετε μια ενεργή σήραγγα για να δείτε τι θα γίνει είναι ένα τεστ που απαντά σε ερώτηση που δεν έκανε κανείς.

Αν η διεπαφή ανήκει σε περιβάλλον container ή σε χώρο ονομάτων δικτύου που δεν δημιουργήσατε, ο ιδιοκτήτης είναι μία εντολή μακριά και αξίζει να βρεθεί πρώτος.

Η ίδια προσοχή ισχύει και για το ip link set down, που φαίνεται αναστρέψιμο και συχνά δεν είναι.

Τι πρέπει να σας αφήσει ο έλεγχος

Ένας καλός έλεγχος τελειώνει με τέσσερα γεγονότα: το όνομα και τον χώρο ονομάτων της διεπαφής, τις σημαίες και το MTU της, το δέλτα των μετρητών από ένα πραγματικό αίτημα, και τη διαδρομή και τη διεύθυνση που χρειάζεται όντως η εφαρμογή. Όταν γραφτούν αυτά, το επόμενο βήμα είναι προφανές και ανήκει σε συγκεκριμένο επίπεδο. Χωρίς αυτά, κάθε επόμενη αλλαγή είναι εικασία με σχέδιο επαναφοράς.

Συγκρίνετε αυτά τα τέσσερα γεγονότα με τα ίδια τέσσερα από μια συνεδρία που δουλεύει. Αν το όνομα και ο χώρος ονομάτων ταιριάζουν αλλά το δέλτα των μετρητών είναι μηδέν, το αίτημα δεν έφτασε ποτέ στη σήραγγα. Αν το δέλτα είναι υγιές και η διαδρομή δείχνει αλλού, η σήραγγα είναι εντάξει και η δρομολόγηση όχι. Αυτή η σύγκριση μετατρέπει έναν σωρό εξόδου σε απόφαση.

Κρατήστε την έξοδο μαζί με το δελτίο, γιατί μια μεταγενέστερη σύγκριση είναι χρήσιμη μόνο αν βλέπετε τι άλλαξε.

Έπειτα κλείστε τον κύκλο δοκιμάζοντας ξανά την εφαρμογή, γιατί η διεπαφή δεν ήταν ποτέ αυτό που ένοιαζε τον χρήστη.