Routerreko VPN bat gainbegiratu, status-argi bakar bat fidatu gabe
Parearen egoerak, hautatutako ibilbideak eta baimendutako aplikazio-probak galdera desberdinei erantzuten diete. Alarma huts egin duen mugarrian eman, ez ikono berde batean.
Egoera-orriak konektatuta dio, argia berdea da, eta bulegoak ezin du fitxategi-zerbitzarira iritsi. Gertaera horietako bat tunelari buruzkoa da eta bestea haren bidezko bideari buruzkoa. Biak gainbegiratzea jardun daitekeen alerta baten eta ignoratzen ikasten duzun baten arteko aldea da.
Bost egiaztapen, hurrenez hurren, paretik kanpora.
1. egiaztapena: parearen edo asoziazioaren egoera
Protokolo bakoitzak bere egoera erakusten du. WireGuard-ek azken handshake-a eta transferentzia-kontagailuak erakusten ditu pare bakoitzeko wg show bidez. OpenVPN-ek saioaren egoera bere egoera-fitxategira edo kudeaketa-interfazera idazten du, eta IPsec-ek segurtasun-asoziazioak erakusten ditu ipsec statusall bezalako tresnen bidez. Tranpa da denbora-zigilua epai gisa irakurtzea: bidaltzeko ezer ez duen WireGuard pare geldiak ez du duela gutxi handshake egingo, eta hori ez da etenaldia.
Alderatu denbora-zigilua espero den trafikoarekin eta keepalive ezarpenekin norbait deitu aurretik.
2. egiaztapena: hautatutako ibilbidea
Tunel-interfaze bat egon daiteke, baina ezer ez da bertara bideratzen. Egiaztatu birbidaltze-taula axola zaizun helmugarako, ez tunelaren azpisare propiorako. Prefixua falta bada edo beste norabait seinalatzen badu, parearen egoera garrantzirik gabea da.
Egiaztapen horrek status-argiak inoiz erakusten ez duen hutsegitea harrapatzen du.
Bigarren egiaztapen erabilgarri batek iturburu-helbidea ere alderatzen du. ip route get 10.20.5.10 hurrengo jauzia, interfazea eta iturburu hobetsia itzultzen ditu, eta iturburu okerra nahikoa da urruneko muturrean itzulera-trafikoa eteteko. Idatz ezazu espero den hirukotea behin, eta gero alarma eman elementuren bat aldatzen denean. Lerro bakar horrek NAT aldaketak, interfazearen kulunka eta politika-bideratzearen akatsak harrapatzen ditu.
3. egiaztapena: baimendutako aplikazio-bidea
Proba ezazu benetako baldintzaren ordezkari den zerbait. Routerretik abiatutako ping-ak routerraren helbide eta politikatik irteten da, eta horiek birbidalitako LAN trafikoaren ezberdinak izan daitezke; gainera, ostalari askok ICMP mugatzen dute. Baldintza zerbitzu pribatua bada, proba ezazu zerbitzu hori bere benetako atakan.
Mantendu probaren bolumena neurritsua. Gainbegiratze-begizta ez litzateke neurtzen duen trafiko bihurtu behar.
4. egiaztapena: zer aldatu zen eta noiz
Erlazionatu WAN aldaketak, gakoen berritzeak, ibilbideen erretiratzeak eta aplikazio-hutsegiteak denbora-lerro bakarrean. Bereizi tunelaren hutsegitea internet-sarbide arrunta isilean berrezartzen duen ordezko ibilbide batetik, zeren biek erabiltzaile-txosten berdinak eta diagnosi kontrajarriak sortzen baitituzte. Ordu-eremuko akatsek ordena alderantzikatu egingo dute, beraz normalizatu alderatu aurretik. Denbora-lerroa da lau egiaztapen kausa bihurtzen dituena.
Gorde erregistroak trantsizioetarako, ez karga erabilgarrirako.
5. egiaztapena: alarmak muga izendatu behar du
VPN behera dioen alarmak erdietan leku okerreko batera bidaltzen du norbait. Parearen handshake-a hamabi minutu heldu gabea dagoela, 10.20.0.0/16-rako ibilbidea falta dela edo 445 atakako probak huts egiten duela dioen alarmak egiaztapen zehatz bat seinalatzen du.
Eduki eragiketa-kontagailuak karga erabilgarriak arakatu beharrean. Kontagailuek gainbegiratze-galderari erantzuten diote behar ez duzun edukirik bildu gabe.
Eta utzi failover politikari hurrengoa erabakitzen. Gainbegiratzeak zein muga huts egin duen identifikatu behar du, ez proba batek huts egiten duen bakoitzean saihesbide zabala baimendu. OpenVPN 2.6 eskuliburuak lehen egiaztapena script bidez egitea ahalbidetzen duten egoera-fitxategia eta kudeaketa-interfazea dokumentatzen ditu.