Jälgige ruuteri VPN-i, usaldamata üht statuslampi
Partneri olek, valitud marsruut ja lubatud rakenduse sond vastavad erinevatele küsimustele. Häiresignaal andke piiril, mis ebaõnnestus, mitte rohelisel ikoonil.
Olekuleht ütleb ühendatud, tuli on roheline ja kontor ei saa failiserverini. Üks neist faktidest puudutab tunnelit ja teine seda läbivat teed. Mõlema jälgimine on vahe tegevusvalmis häiresignaali ja sellise vahel, mida õpitakse ignoreerima.
Viis kontrolli, järjekorras, partnerist väljapoole.
Kontroll 1: partneri või assotsiatsiooni olek
Iga protokoll näitab oma olekut. WireGuard näitab viimast kätlust ja ülekandeloendureid partneri kohta wg show kaudu. OpenVPN kirjutab seansi oleku oma olekufaili või haldusliidesesse ning IPsec näitab turbekinnitusi tööriistadega nagu ipsec statusall. Lõks on lugeda ajatemplit otsusena: jõudeolekus WireGuard-partner, kellel pole midagi saata, ei tee hiljuti kätlust ja see pole katkestus.
Võrrelge ajatemplit eeldatava liikluse ja keepalive-seadetega enne, kui kedagi kutsute.
Kontroll 2: valitud marsruut
Tunneli liides võib eksisteerida, samal ajal kui sinna midagi ei marsruutu. Kontrollige edastustabelit teid huvitava sihtkoha jaoks, mitte tunneli enda alamvõrgu jaoks. Kui prefiks puudub või osutab mujale, on partneri olek ebaoluline.
See kontroll püüab rikke, mida statuslamp kunagi ei näita.
Kasulik teine kontroll võrdleb ka lähteaadressi. ip route get 10.20.5.10 tagastab järgmise hüppe, liidese ja eelistatud lähte, ning vale lähtekoht on piisav, et kaugemas otsas tagasiliiklus katkestada. Kirjutage eeldatav kolmik üks kord üles ja alarmeerige, kui mõni element muutub. See üks rida püüab NAT-i muutused, liidese kõikumised ja poliitikapõhise marsruutimise vead.
Kontroll 3: lubatud rakenduse tee
Katsetage midagi, mis on tegelikule nõudele esinduslik. Ruuterist algav ping väljub ruuteri enda aadressilt ja poliitikalt, mis võib erineda edastatud LAN-liiklusest, ja paljud hostid piiravad ICMP-d. Kui nõue on privaatne teenus, testige seda teenust selle tegelikul pordil.
Hoidke sondi maht tagasihoidlik. Jälgimistsükkel ei tohiks muutuda liikluseks, mida ta mõõdab.
Kontroll 4: mis muutus ja millal
Korreleerige WAN-i muutused, võtmete uuendamised, marsruutide tagasivõtmised ja rakenduste tõrked ühel ajajoonel. Eristage tunneli tõrget varuteest, mis taastab vaikselt tavalise internetiühenduse, sest mõlemad annavad identseid kasutajateateid ja vastandlikke diagnoose. Ajavööndivead pööravad järjekorra ümber, seega normaliseerige enne võrdlemist. Ajajoon on see, mis muudab neli kontrolli põhjuseks.
Hoidke logisid üleminekute jaoks, mitte kasuliku koormuse jaoks.
Kontroll 5: alarm peaks piiri nimetama
Alarm, mis ütleb VPN maas, saadab inimese pooltel juhtudel valesse kohta. Alarm, mis ütleb, et partneri kätlus on kaksteist minutit aegunud, marsruut 10.20.0.0/16 puudub või sond porti 445 nurjub, osutab konkreetsele kontrollile.
Pidage tegevusloendureid, mitte ärge sirvige kasulikke koormusi. Loendurid vastavad jälgimisküsimusele ilma sisu kogumata, mida te ei vaja.
Ja laske ümberlülituspoliitikal otsustada, mis järgmiseks juhtub. Jälgimine peaks tuvastama, milline piir ebaõnnestus, mitte lubama iga nurjunud sondi korral laia möödapääsu. OpenVPN 2.6 käsiraamat dokumenteerib olekufaili ja haldusliidese, mis teevad esimese kontrolli skriptitavaks.