Kiel kontroli, ĉu Linux VPN-tunelo vere funkcias

Cron restarigas perfekte sanan VPN-on ĉiun dek minutojn, kaj la sama tasko lasas malvivan funkcii dum semajno. Ambaŭ fiaskoj venas de tio, ke «aktiva» estas traktata kiel unu faktoro, kvankam ĝi estas almenaŭ kvar. Aparato povas esti administre ebligita, ĝuste itinerita, plene ĉifrita kaj tamen porti nenion utilan. Unue apartigu la observojn, kaj la kontrolo preskaŭ mem skribiĝos.

Ligilaj flagoj priskribas la aparaton, ne la vojon

La kontrolo, kiun ĉiuj kopias, serĉas aparatan adreson el nur nuloj. Tiu truko apartigas en iuj peliloj veran interfacon de anstataŭilo kaj en la restaj pruvas nenion, ĉar tun-aparato havas neniun MAC por reporti. ip -brief link show tun0 anstataŭe donas flagojn: UP signifas, ke administranto ebligis la aparaton, kaj LOWER_UP signifas, ke la pelilo konsideras la ligilon uzebla. Legitaj kune, ili diras, ke la aparato ekzistas kaj ne estas administre malŝaltita. Neniu el ili diras, ke paketo havas kien iri.

OpenVPN kreas sian tun-aparaton antaŭ ol la itineraj estas instalitaj, do la flagoj povas aperi perfektaj dum nenio estas itinerita. Traktu ilin kiel premison, neniam kiel la respondon.

Demandu, kien paketo irus

Itinera serĉo respondas la demandon, kiun la flagoj ne povas. ip route get 10.8.0.1 from 10.8.0.2 nomas la interfacon, la fontan adreson kaj la tabelon, kiun la kerno uzus, tio estas ekzakte tio, kontraŭ kio dividita tunelo devas esti kontrolata. Sen la fonta adreso vi demandas ion alian, kaj kun politika itinerado la respondo povas malsami laŭ fonto. Tio estas la plej malmultekosta honesta provo, ĉar ĝi konsultas la samajn regulojn, kiujn uzos via trafiko.

Por WireGuard, aldonu la manpremon. wg show preskribas tempindikon de lasta manpremo por ĉiu samulo, kaj tempindiko, kiu ĉesis antaŭeniri, signifas, ke la samulo malaperis, kion ajn diras la flagoj de la interfaco. Konfigurita interfaco sen freŝa manpremo estas unu el la plej oftaj falsaj pozitivoj en hejmfarita monitorado.

Tabelo 220 rakontas la historion de IPsec

strongSwan instalas itinerojn por negocitaj selektiloj en tabelo 220, kiam itinera instalado estas ebligita. ip route list table 220 do apartigas negocitan de itinerita: malplena tabelo apud ŝarĝita konekto signifas, ke la SA-oj de IKE kaj CHILD leviĝis dum neniu trafiko estas direktata en ilin. Kontrolu ip xfrm state apude, ĉar ĝi listigas la instalitajn sekurecajn asociojn kaj iliajn finpunktojn.

Kaptila politiko estas la kazo, pri kiu oni atentu. Ĝi atendas interesan trafikon anstataŭ itinerigi ĝin, do la tabelo restas malplena ĝis io ekfunkciigas la tunelon.

Administrita stato kaj demona stato estas malsamaj listoj

NetworkManager listigas nur la konektojn, kiujn ĝi posedas. nmcli -t -f NAME,TYPE connection show --active redonas nenion por tunelo startigita rekte de wg-quick aŭ de OpenVPN-demono.

Tiu distingo gravas, kiam skripto devas decidi, kiun el du administriloj demandi. Elektu tiun, kiu efektive posedas la tunelon sur ĉi tiu hosto, kaj ignoru la silenton de la alia. Se ambaŭ ekzistas, decidu, kiu estas aŭtoritata, kaj malŝaltu la duan, ĉar du administriloj, kiuj reskribas itinerojn sur unu interfaco, produktas paneojn, kiujn neniu povas reprodukti. Mankanta enskribo estas informo pri la administrilo, ne pri la tunelo.

Kondiĉigu la sekvan paŝon per la provo, kiun ĝi bezonas

Sondi UDP-porton pruvas nenion pri preteco, ĉar UDP havas neniun manpremon kaj nc -u sukcesas tuj kiam la paketo eliras. Sondi, kion la sekva paŝo efektive konsumas: TCP-konekton al la plusendita pordo, peton al hosto ene de la tunelo, nomon, kiu solviĝas nur tie. Limigu la atendon per tempolimo kaj nombro de provoj, kaj fiasku laŭte, kiam ĝi elĉerpiĝas.

Hokoj superas sondadon, kiam la kliento ilin ofertas. --up kaj --down skriptoj de OpenVPN funkcias post kiam la interfaco ŝanĝas staton, kio forigas la konkurencon tute, sed ili funkcias kun la privilegioj, kiujn la demono konservis. Se OpenVPN malsupreniris al senprivilegia konto per user kaj group, la hoko funkcias kiel tiu konto. Restartigi sisteman servon tiam postulas sudo por permesi ekzakte tiun komandon. Transdonu la reprovon al la servadministrilo anstataŭ al cron-buĉo: lima restartpolitiko kun startlimo malkaŝas rompitan tunelon, dum nelima buĉo kaŝas ĝin senfine.