Linuxi VPN-liidese uurimine käsuga ip link, kiht kihi haaval

Kliendi ikoon näitab ühendatud, liides on olemas ja rakendus ei jõua ikkagi kuhugi. See kombinatsioon on tavaline, sest virtuaalne liides võib püsida, samal ajal kui selle kaugpartner, aadressid või marsruudid puuduvad. ip link on õige esimene tööriist ja ühtlasi see, mida on kõige kergem üle tõlgendada. Lipud ja loendurid kirjeldavad ühte kihti ning nende kohal olevad kihid veavad iseseisvalt. See on ka tööriist, mida inimesed tsiteerivad, kui tahavad tõestada, et tunnel töötab, täpselt see väide, mida see üksi toetada ei suuda.

Lugege liidest enne, kui loete ikooni

Alustage ip -details link show dev tun0 nagu on dokumenteeritud ip-linki juhendis, asendades tavapärase nime liidesega, mis teie kliendil tegelikult on. Lipud, tüüp, MTU ja liidese identiteet on kasulikud tähelepanekud. Virtuaalse liidese oleku sõnastus ei pea käituma nagu füüsilise kaabli kandesignaali näit, seega käsitlege UP-i väitena liidese, mitte tunneli kohta.

See erinevus selgitab kõige segasemat juhtumit: liides püsib, samal ajal kui kaugpool taasühendub või on kättesaamatu.

Püsivuse seaded võivad hoida linki just selleks, et taasühendus seda uuesti ei ehitaks, mis tähendab, et kohalolu ei ole tervis.

Lisage loendurid ja päring, mis peaks neid kasutama

Kasutage toetatud statistikavaadet ip -s link show dev tun0 ja pange kirja pakettide ja baitide loendurid mõlemas suunas. Seejärel looge kahjutu päring, mis peaks liidesest läbi minema, ja võrrelge asjaomast suunda. Päring, mis läks teise rakenduse otseteed, neid loendureid ei liiguta, ja see ongi harjutuse mõte.

Kui saatmisloendur liigub ja vastuvõtuloendur mitte, pakett väljus ja midagi ei tulnud tagasi. See on teine probleem kui liides, mis ei kandnud kunagi midagi. Kui mõlemad loendurid liiguvad ja rakendus ikka ei tööta, on rike liidesest kõrgemal, mis on edasiminek, mitte tupik.

Võtke näit kaks korda, üks enne ja üks pärast, selle asemel et usaldada üht hetktõmmist.

Aadressid ja marsruudid on eraldi sammud

Link võib eksisteerida ilma eesliiteta, resolveri seadistuse või marsruudita, mida rakendus vajab. Kontrollige aadressi käsuga ip address show dev tun0, seejärel kontrollige, millise marsruudi sihtkoht valiks, käsuga ip route get tegeliku sihi jaoks. Need kolm tähelepanekut vastavad kolmele erinevale küsimusele ja ainult viimane puudutab edastamist.

IPsec-i puhul võivad loenduda ka turbepoliitika ja assotsiatsiooni olek ning mitte iga IPsec-i lahendus ei ilmuta end lihtsa tun-liidesena. Otsida tun-seadet, mida kunagi ei pidanudki olema, on kiire tee vale järelduseni.

Kirjutage üles täpne nimi, nimeruum ja aeg koos iga väljundiga, mida hoiate, sest sarnaselt näiv nimi teises konteineris või taastatud seansis tähistab hoopis teist konteksti.

Ärge kustutage seda, mida te ei ole tuvastanud

Tundmatu liides ei ole automaatselt vananenud. Tehke enne millegi eemaldamist kindlaks selle omanik ja kui eemaldamine on tõesti kavatsus, kasutage kliendi dokumenteeritud lammutust või hallatavat seadistust. Töötava tunneli kustutamine, et näha, mis juhtub, on test, mis vastab küsimusele, mida keegi ei küsinud.

Kui liides kuulub konteinerite keskkonnale või võrgu nimeruumile, mida te ei loonud, on omanik ühe käsu kaugusel ja seda tasub esimesena leida.

See ettevaatus kehtib ka ip link set down puhul, mis näib pööratav ja sageli ei ole.

Mida peaks ülevaatus teile jätma

Hea ülevaatus lõpeb nelja faktiga: liidese nimi ja nimeruum, selle lipud ja MTU, loendurite delta päris päringust ning marsruut ja aadress, mida rakendus tegelikult vajab. Kui need on kirjas, on järgmine samm ilmne ja kuulub konkreetsele kihile. Ilma nendeta on iga järgnev muudatus oletus koos tagasipööramise plaaniga.

Võrrelge neid nelja fakti samade neljaga töötavast seansist. Kui liidese nimi ja nimeruum klapivad, kuid loendurite delta on null, ei jõudnud päring tunnelini kunagi. Kui delta on terve ja marsruut osutab mujale, on tunnel korras ja marsruutimine mitte. Just see võrdlus muudab hunniku väljundit otsuseks.

Hoidke väljund piletiga koos, sest hilisem võrdlus on kasulik ainult siis, kui näete, mis muutus.

Seejärel sulgege ring, testides rakendust uuesti, sest liides ei olnud kunagi see, mis kasutajale korda läks.