Kuidas kontrollida, kas Linuxi VPN tunnel tõesti töötab

Cron taaskäivitab iga kümne minuti tagant täiesti terve VPN-i ja sama töö jätab surnud VPN-i nädalaks tööle. Mõlemad rikked tulevad sellest, et «töötab» koheldakse ühe tõsiasjana, kuigi see on vähemalt neli. Seade võib olla administreeritavalt lubatud, õigesti marsruuditud, täielikult krüpteeritud ja ikkagi mitte midagi kasulikku kanda. Eraldage esmalt tähelepanekud ja kontroll kirjutab end peaaegu ise.

Lingi lipud kirjeldavad seadet, mitte teed

Kontroll, mida kõik kopeerivad, otsib riistvaraaadressi, mis koosneb ainult nullidest. See nipp eristab mõnes draiveris tõelise liidese kohatäitest ja ülejäänutes ei tõesta midagi, sest tun-seadmel pole üldse MAC-i, mida teatada. ip -brief link show tun0 annab selle asemel lipud: UP tähendab, et administraator lubas seadme, ja LOWER_UP tähendab, et draiver peab linki kasutatavaks. Koos loetuna ütlevad need, et seade on olemas ja pole administratiivselt välja lülitatud. Kumbki ei ütle, et paketil oleks kuhugi minna.

OpenVPN loob oma tun-seadme enne marsruutide paigaldamist, seega võivad lipud paista täiuslikud, samal ajal kui miski pole marsruuditud. Käsitlege neid eeldusena, mitte kunagi vastusena.

Küsige, kuhu pakett läheks

Marsruudiotsing vastab küsimusele, millele lipud ei suuda. ip route get 10.8.0.1 from 10.8.0.2 nimetab liidese, lähteaadressi ja tabeli, mida tuum kasutaks, ja see on täpselt see, mille vastu tuleb poolitatud tunnelit kontrollida. Ilma lähteaadressita küsite midagi muud, ja poliitikapõhise marsruutimise korral võib vastus allika kaupa erineda. See on odavaim aus test, sest ta konsulteerib samu reegleid, mida kasutab teie liiklus.

WireGuardi puhul lisage käepigistus. wg show trükib iga kaaslase viimase käepigistuse ajatempli ja ajatempel, mis lakkas edenemast, tähendab, et kaaslane on kadunud, ükskõik mida liidese lipud ütlevad. Konfigureeritud liides ilma värske käepigistuseta on üks tavalisemaid valepositiivseid omatehtud järelevalves.

Tabel 220 räägib IPsec-i lugu

strongSwan paigaldab kokkulepitud selektorite marsruudid tabelisse 220, kui marsruutide paigaldamine on lubatud. ip route list table 220 eristab seega kokkulepitut marsruuditudust: tühi tabel laetud ühenduse kõrval tähendab, et IKE ja CHILD SA tõusid üles, samal ajal kui mingit liiklust nende poole ei suunata. Kontrollige ip xfrm state selle kõrval, sest see loetleb paigaldatud turbekoopiad ja nende lõpp-punktid.

Lõkspoliitika on juhtum, millele tähelepanu pöörata. See ootab huvitavat liiklust, selle asemel et seda marsruutida, seega jääb tabel tühjaks, kuni miski tunneli käivitab.

Halduri olek ja deemon olek on erinevad nimekirjad

NetworkManager loetleb ainult ühendusi, mida ta omab. nmcli -t -f NAME,TYPE connection show --active ei tagasta midagi tunneli kohta, mille käivitas otse wg-quick või OpenVPN-i deemon.

See erinevus loeb siis, kui skript peab otsustama, kumba kahest haldurist pärida. Valige see, kes tunnelit sellel hostil tõesti omab, ja eirake teise vaikust. Kui mõlemad on olemas, otsustage, kumb on autoriteetne, ja lülitage teine välja, sest kaks haldurit, mis ühel liidesel marsruute ümber kirjutavad, tekitavad rikkeid, mida keegi ei suuda korrata. Puuduv kirje on teave halduri, mitte tunneli kohta.

Sõltuvage järgmine samm kontrollist, mida see vajab

UDP-pordi küsitlemine ei tõesta valmiduse kohta midagi, sest UDP-l pole käepigistust ja nc -u õnnestub niipea, kui pakett väljub. Uurige, mida järgmine samm tegelikult tarbib: TCP-ühendus edasisaadetud pordiga, päring tunnelis olevasse hosti, nimi, mis laheneb ainult seal. Piirake ootust ajapiiranguga ja katsete arvuga ning ebaõnnestuge valjult, kui see otsa saab.

Konksud on küsitlemisest paremad, kui klient neid pakub. --up ja --down skriptid OpenVPN-ist töötavad pärast seda, kui liides on olekut muutnud, mis kõrvaldab võidujooksu täielikult, kuid need töötavad privileegidega, mille deemon on alles hoidnud. Kui OpenVPN laskus mitteprivilegeeritud kontole läbi user ja group, töötab konks selle kontona. Süsteemiteenuse taaskäivitamine nõuab siis sudo-t, et lubada täpselt see käsk. Andke korduskatse teenusehaldurile, mitte cron-tsüklile: piiratud taaskäivitamispoliitika käivituslimiidiga paljastab katkise tunneli, samal ajal kui piiramatu tsükkel varjab seda määramata ajaks.