Παρακολούθηση VPN δρομολογητή χωρίς εμπιστοσύνη σε μία λυχνία κατάστασης

Η σελίδα κατάστασης λέει συνδεδεμένο, η λυχνία είναι πράσινη, και το γραφείο δεν φτάνει στον διακομιστή αρχείων. Ένα από αυτά τα γεγονότα αφορά τη σήραγγα και το άλλο τη διαδρομή μέσα από αυτή. Η παρακολούθηση και των δύο είναι η διαφορά ανάμεσα σε έναν συναγερμό που μπορείτε να αξιοποιήσετε και σε έναν που μαθαίνετε να αγνοείτε.

Πέντε έλεγχοι, με σειρά, από τον ομότιμο προς τα έξω.

Έλεγχος 1: κατάσταση ομότιμου ή συσχέτισης

Κάθε πρωτόκολλο εκθέτει τη δική του κατάσταση. Το WireGuard δείχνει την τελευταία χειραψία και τους μετρητές μεταφοράς ανά ομότιμο μέσω wg show. Το OpenVPN γράφει την κατάσταση συνεδρίας στο αρχείο κατάστασης ή στη διεπαφή διαχείρισης, και το IPsec εκθέτει τις ενώσεις ασφαλείας μέσω εργαλείων όπως ipsec statusall. Η παγίδα είναι να διαβάζετε μια χρονική σφραγίδα ως ετυμηγορία: ένας αδρανής ομότιμος WireGuard χωρίς τίποτα να στείλει δεν θα κάνει πρόσφατα χειραψία, και αυτό δεν είναι διακοπή.

Συγκρίνετε τη χρονική σφραγίδα με την αναμενόμενη κίνηση και τις ρυθμίσεις keepalive πριν καλέσετε κάποιον.

Έλεγχος 2: η επιλεγμένη διαδρομή

Μια διεπαφή σήραγγας μπορεί να υπάρχει ενώ τίποτα δεν δρομολογείται μέσα της. Ελέγξτε τον πίνακα προώθησης για τον προορισμό που σας απασχολεί, όχι για το δικό της υποδίκτυο της σήραγγας. Αν το πρόθεμα λείπει ή δείχνει αλλού, η κατάσταση του ομότιμου είναι άσχετη.

Αυτός ο έλεγχος πιάνει την αστοχία που μια λυχνία κατάστασης δεν δείχνει ποτέ.

Ένας χρήσιμος δεύτερος έλεγχος συγκρίνει και τη διεύθυνση προέλευσης. Το ip route get 10.20.5.10 επιστρέφει το επόμενο άλμα, τη διεπαφή και την προτιμώμενη προέλευση, και μια λάθος προέλευση αρκεί για να σπάσει την κίνηση επιστροφής στο απομακρυσμένο άκρο. Καταγράψτε την αναμενόμενη τριάδα μία φορά και μετά ειδοποιήστε όταν αλλάξει οποιοδήποτε στοιχείο. Αυτή η μία γραμμή πιάνει αλλαγές NAT, διακυμάνσεις διεπαφής και λάθη δρομολόγησης πολιτικής.

Έλεγχος 3: μια επιτρεπόμενη διαδρομή εφαρμογής

Δοκιμάστε κάτι αντιπροσωπευτικό της πραγματικής απαίτησης. Ένα ping από τον δρομολογητή ξεκινά από τη δική του διεύθυνση και πολιτική, που μπορεί να διαφέρουν από την προωθούμενη κίνηση LAN, και πολλοί υπολογιστές περιορίζουν το ICMP. Αν η απαίτηση είναι ιδιωτική υπηρεσία, δοκιμάστε αυτή την υπηρεσία στην πραγματική της θύρα.

Κρατήστε τον όγκο του δείγματος μετρημένο. Ένας βρόχος παρακολούθησης δεν πρέπει να γίνει η κίνηση που μετρά.

Έλεγχος 4: τι άλλαξε και πότε

Συσχετίστε αλλαγές WAN, ανανεώσεις κλειδιών, αποσύρσεις διαδρομών και αστοχίες εφαρμογών σε ένα χρονολόγιο. Ξεχωρίστε μια αστοχία σήραγγας από μια εφεδρική διαδρομή που αποκαθιστά αθόρυβα τη συνηθισμένη πρόσβαση στο διαδίκτυο, γιατί και οι δύο παράγουν πανομοιότυπες αναφορές χρηστών και αντίθετες διαγνώσεις. Τα σφάλματα ζώνης ώρας αντιστρέφουν τη σειρά, οπότε κανονικοποιήστε πριν συγκρίνετε. Το χρονολόγιο είναι αυτό που μετατρέπει τέσσερις ελέγχους σε αιτία.

Διατηρήστε τα αρχεία καταγραφής για τις μεταβάσεις, όχι για το ωφέλιμο φορτίο.

Έλεγχος 5: ο συναγερμός πρέπει να ονομάζει το όριο

Ένας συναγερμός που λέει VPN κάτω στέλνει κάποιον στο λάθος μέρος τις μισές φορές. Ένας που λέει ότι η χειραψία του ομότιμου είναι παλιά εδώ και δώδεκα λεπτά, ότι η διαδρομή προς 10.20.0.0/16 λείπει ή ότι το δείγμα στη θύρα 445 αποτυγχάνει, δείχνει σε συγκεκριμένο έλεγχο.

Κρατήστε επιχειρησιακούς μετρητές αντί να περιηγείστε σε ωφέλιμα φορτία. Οι μετρητές απαντούν στο ερώτημα παρακολούθησης χωρίς να συλλέγουν περιεχόμενο που δεν χρειάζεστε.

Και αφήστε την πολιτική εναλλαγής να αποφασίσει τι γίνεται μετά. Η παρακολούθηση πρέπει να εντοπίζει ποιο όριο απέτυχε, όχι να επιτρέπει μια ευρεία παράκαμψη κάθε φορά που αποτυγχάνει ένα δείγμα. Το εγχειρίδιο του OpenVPN 2.6 τεκμηριώνει το αρχείο κατάστασης και τη διεπαφή διαχείρισης που κάνουν τον πρώτο έλεγχο δυνατό με σενάριο.