Observi VPN-on de enkursigilo sen fidi unu statuslampon
La stato de la samtavolano, la elektita itinero kaj permesita aplika provo respondas diversajn demandojn. Alarmu je la limo kiu malsukcesis, ne je verda ikono.
La statuspaĝo diras konektita, la lampo estas verda, kaj la oficejo ne povas atingi la dosierujan servilon. Unu el tiuj faktoj temas pri la tunelo kaj la alia pri la vojo tra ĝi. Observi ambaŭ estas la diferenco inter alarmo, kiun vi povas agi laŭ, kaj unu, kiun vi lernas ignori.
Kvin kontroloj, laŭorde, de la samtavolano eksteren.
Kontrolo 1: stato de samtavolano aŭ asocio
Ĉiu protokolo montras sian propran staton. WireGuard montras la plej lastan manpremon kaj transigajn nombrilojn por samtavolano per wg show. OpenVPN skribas seanstan staton al sia statusdosiero aŭ administra interfaco, kaj IPsec montras sekurecajn asociojn per iloj kiel ipsec statusall. La kaptilo estas legi tempostampon kiel verdikton: senokupa samtavolano de WireGuard sen io por sendi ne manpremos lastatempe, kaj tio ne estas interrompo.
Komparu la tempostampon kun la atendata trafiko kaj la keepalive-agordoj antaŭ ol voki iun.
Kontrolo 2: la elektita itinero
Tunela interfaco povas ekzisti dum nenio enitinera al ĝi. Kontrolu la plusendan tabelon por la celo, kiu gravas al vi, ne por la propra subreto de la tunelo. Se la prefikso mankas aŭ montras aliloken, la stato de la samtavolano estas nerelevanta.
Tiu kontrolo kaptas la difekton, kiun statuslampo neniam montras.
Utila dua kontrolo ankaŭ komparas la fontan adreson. ip route get 10.20.5.10 redonas la sekvan salteton, la interfacon kaj la preferatan fonton, kaj malĝusta fonto sufiĉas por rompi la revenan trafikon ĉe la malproksima fino. Notu la atendatan triopon unufoje, poste alarmu kiam ajn elemento ŝanĝiĝas. Tiu sola linio kaptas ŝanĝojn de NAT, interfacajn svingojn kaj erarojn de politika enitinero.
Kontrolo 3: permesita aplika vojo
Provu ion reprezentan de la reala postulo. Ping de la enkursigilo eliras de la propra adreso kaj politiko de la enkursigilo, kiuj povas malsami de plusendita LAN-trafiko, kaj multaj gastigantoj limigas ICMP. Se la postulo estas privata servo, testu tiun servon sur ĝia reala pordo.
Tenu la provan volumon modesta. Observa buklo ne devus fariĝi la trafiko, kiun ĝi mezuras.
Kontrolo 4: kio ŝanĝiĝis kaj kiam
Kunligu WAN-ŝanĝojn, ŝlosilajn renovigojn, itineraltiriĝojn kaj aplikajn fiaskojn sur unu tempa linio. Distingu tunelan fiaskon de rezerva itinero, kiu trankvile restarigas ordinaran interretan aliron, ĉar ambaŭ produktas identajn uzantajn raportojn kaj kontraŭajn diagnozojn. Horzonaj eraroj inversigos la ordon, do normaligu antaŭ komparo. La tempa linio estas tio, kio igas kvar kontrolojn kaŭzo.
Konservu protokolojn por la transiroj, ne por la utila ŝarĝo.
Kontrolo 5: la alarmo nomu la limon
Alarmo, kiu diras VPN malsupren, sendas iun al la malĝusta loko duonon de la tempo. Unu, kiu diras ke la manpremo de la samtavolano estas kaduka dum dek du minutoj, ke la itinero al 10.20.0.0/16 mankas, aŭ ke la provo al pordo 445 fiaskas, montras al specifa kontrolo.
Tenu administrajn nombrilojn anstataŭ foliumi utilajn ŝarĝojn. Nombriloj respondas la observan demandon sen kolekti enhavon, kiun vi ne bezonas.
Kaj lasu la baskuligan politikon decidi, kio sekvas. Observado devus identigi, kiu limo fiaskis, ne rajtigi larĝan pretervojon ĉiufoje, kiam provo fiaskas. La manlibro de OpenVPN 2.6 dokumentas la statusdosieron kaj la administran interfacon, kiuj faras la unuan kontrolon skriptebla.