Nola egiaztatu Linux VPN tunel bat benetan martxan dagoen

Cron-ek hamar minuturo VPN osasuntsu bat berrabiarazten du, eta lan berak hildako bat aste osoan martxan uzten du. Bi hutsegiteak «martxan» gertaera bakar gisa tratatzetik datoz, gutxienez lau direnean. Gailu bat administrazioz gaituta, behar bezala bideratuta, erabat zifratuta egon daiteke eta, hala ere, ezer baliagarria ez eraman. Lehenengo behaketak banandu, eta egiaztapenak ia berak idazten du.

Estekaren banderek gailua deskribatzen dute, ez bidea

Denek kopiatzen duten egiaztapenak zero hutsez osatutako hardware helbidea bilatzen du. Trikimailu horrek benetako interfazea leku-markatzaile batetik bereizten du zenbait gidaritan, eta gainerakoetan ezer frogatzen ez du, tun gailu batek ez baitu MACrik emateko. ip -brief link show tun0 horren ordez banderak ematen ditu: UP esan nahi du administratzaile batek gailua gaitzatu duela, eta LOWER_UP esan nahi du gidariak esteka erabilgarritzat jotzen duela. Elkarrekin irakurrita, gailua badagoela eta administrazioz ez dagoela itzalita esaten dute. Batak ere ez du esaten paketeak norabiderik duenik.

OpenVPN bere tun gailua ibilbideak instalatu aurretik sortzen du, beraz banderak ezin hobeak izan daitezke ezer bideratuta ez dagoen bitartean. Aurretiko baldintza gisa hartu, inoiz ez erantzun gisa.

Galdetu pakete bat nora joango litzatekeen

Ibilbide-kontsultak banderek ezin duten galderari erantzuten dio. ip route get 10.8.0.1 from 10.8.0.2 interfazea, iturburu-helbidea eta kernelak erabiliko lukeen taula izendatzen ditu, eta hori da zatitutako tunel bat egiaztatu behar denaren aurka. Iturburu-helbiderik gabe beste zerbait galdetzen ari zara, eta politika-bideratzearekin erantzuna iturburuaren arabera alda daiteke. Hau da proba zintzoik merkeena, zure trafikoak erabiliko dituen erregel berberak kontsultatzen baititu.

WireGuard-erako, gehitu esku-ematea. wg show pare bakoitzaren azken esku-ematearen denbora-zigilua inprimatzen du, eta aurrera egiteari utzi dion zigiluak pareak alde egin duela esan nahi du, interfazearen banderek esan dezaketen edozer dela ere. Esku-emate berririk gabeko interfaze konfiguratuak faltsu positibo ohikoenetako bat dira etxean egindako monitorizazioan.

220 taulak IPsec-en istorioa kontatzen du

strongSwan-ek negoziatutako hautatzaileentzako ibilbideak instalatzen ditu 220 taulan, ibilbideen instalazioa gaituta dagoenean. ip route list table 220 beraz negoziatua bideratutik bereizten du: taula hutsa karga duen konexio baten ondoan IKE eta CHILD SA-ak altxatu ziren bitartean inolako trafikorik haietara bideratzen ez dela esan nahi du. Egiaztatu ip xfrm state haren ondoan, instalatutako segurtasun-elkarteak eta haien muturrak zerrendatzen baititu.

Tranpa-politika da kontuan hartu beharreko kasua. Trafiko interesgarria itxaroten du bideratu ordez, beraz taula hutsik jarraitzen du zerbait tunela abiarazi arte.

Kudeatzailearen egoera eta daemonaren egoera zerrenda desberdinak dira

NetworkManager-ek berak dituen konexioak bakarrik zerrendatzen ditu. nmcli -t -f NAME,TYPE connection show --active ez du ezer itzultzen wg-quick edo OpenVPN daemon batek zuzenean abiarazitako tunel baterako.

Bereizketa hori garrantzitsua da script batek bi kudeatzaileetatik zeini galdetu erabaki behar duenean. Aukeratu host honetan tunela benetan duena eta ignoratu bestearen isiltasuna. Biak badaude, erabaki zein den autoritatea eta desgaitu bigarrena, interfaze bakarrean ibilbideak berridazten dituzten bi kudeatzaileren hutsegiteak inork ezin baititu erreproduzitu. Sarrera bat falta izatea kudeatzaileari buruzko informazioa da, ez tunelari buruzkoa.

Baldintzatu hurrengo urratsa behar duen probaren arabera

UDP portu bat miatzeak ez du ezer frogatzen prestutasunaz, UDPk esku-ematerik ez baitu eta nc -u arrakasta lortzen du paketea ateratzen den bezain laster. Frogatu hurrengo urratsak benetan kontsumitzen duena: TCP konexioa birbidalitako portura, tunel barruko host batera egindako eskaera, han bakarrik ebazten den izen bat. Mugatu itxaronaldia denbora-muga eta saiakera-kopuru batekin, eta huts egin ozenki agortzen denean.

Kakoek miaketak gainditzen dituzte bezeroak eskaintzen dituenean. --up eta --down OpenVPN-eko scriptak interfazeak egoera aldatzen duenetik exekutatzen dira, eta horrek lasterketa erabat ezabatzen du, baina daemonak mantendu dituen pribilegioekin exekutatzen dira. OpenVPN user eta group bidez pribilegiorik gabeko kontu batera jaitsi bada, kakua kontu hori bezala exekutatzen da. Sistema-zerbitzu bat berrabiarazteak, orduan, sudo eskatzen du zehazki komando hori onartzeko. Berriro saiatzea zerbitzu-kudeatzaileari eman cron begizta bati beharrean: hasiera-muga duen berrabiarazte-politika mugatuak tunel hautsia agerian uzten du, mugagabeko begiztak mugagabean ezkutatzen duen bitartean.