VPN zerbitzariaren berreskurapena berrabiaraztearen ondoren probatu: zer egiaztatu lehenengo

Berrabiarazi zerbitzaria inor saioa hasi gabe, eta gero konektatu kontrolatzen ez duzun sare batetik. Proba bakar horrek erantzuten du berreskurapena benetakoa den ala ez, zeren eta norbaitek komando bat eskuz exekutatu ondoren soilik funtzionatzen duen tunel bat ez da berreskurapena, konponketa baizik. Egiaztapen gehienak goizegi gelditzen dira: deabrua aktibo agertzen da, interfazea altxatzen da, eta orria ez da kargatzen. Hutsunea ia beti tunelaren inguruko piezen iraunkortasunean dago, ez tunelaren komandoan bertan.

Lau jabe, lau proba ezberdin

Berrabiarazi aurretik, izenda ezazu tunela itzuli behar duena. Exekutatzen duzun proba eta aplikatzen duzun konponketa biak erantzun horren mende daude, eta lau jabe arrunt daude: systemd unitate bat VPN deabruarentzat, wg-quick instantzia-unitate bat WireGuard interfazearentzat, edukiontzien runtimea edo sare-kudeatzailearen profila. Jabea izendatu ezin baduzu, gelditu eta aurkitu, zeren eta espero den abio-biderik gabeko berrabiarazte-proba batek zerbait gertatu dela besterik ez dizu esaten.

Jabe bakoitzak bere konfigurazioa leku ezberdinean gordetzen du. systemd-k kudeatutako OpenVPN zerbitzariak abioan irakurtzen du konfigurazioa, beraz abioan fitxategian dagoena da exekutatzen dena. wg-quick interfazeak fitxategi beretik ateratzen ditu helbideak, ibilbideak eta DNSa, eta horrek esan nahi du shell batetik eskuz altxatutako eta inoiz unitate gisa gaitu gabeko interfazea ez dela itzuliko. Eduiontziak bere sarrera-puntua itzultzen du, baina ez ostalariaren suebakiko aldaketak, aldaketa horiek edukiontzitik kanpo bizi ez badira.

Lehenengo oinarri-lerroa, bestela emaitzak ez du ezer esan nahi

Erregistratu funtzionatzen duen egoera funtzionatzen duen bitartean: tunelaren helbideak, bezeroaren azpisarearentzako ibilbideak, NAT edo birbidaltze-arauak, entzuten ari den socketa eta birbidaltze-sysctla. ip addr show wg0, ip route, nft list ruleset edo iptables-save, ss -lunp eta sysctl net.ipv4.ip_forward nahikoa dira ostalari gehienetan.

Idatzi zerbitzua nola dagoen konfiguratuta abiarazteko, ez soilik martxan dagoela. systemctl is-enabled wg-quick@wg0 eta systemctl is-active wg-quick@wg0 galdera desberdinei erantzuten diete, eta gaitutako egoera da abioan garrantzitsua dena, systemctl(1) orrian deskribatzen den bezala. OpenVPN kasuan, egiaztatu ostalariak zein txantiloi erabiltzen duen, openvpn@server eta openvpn-server@server unitate desberdinak baitira, balio lehenetsi desberdinekin.

Exekutatu berrabiaraztea eta irakurri lehen hutsegitea

Berrabiarazi nahita, aukeratu duzun leiho batean, kontsola edo banda kanpoko bide bat irekita. Behatu gertaeren ordena, ez azken egoera: ostalaria eskuragarri, unitatea aktibatuta, interfazea presente, ibilbideak instalatuta, suebakiko arauak presente, entzulea lotuta, bezeroa onartuta. Gerta ez den lehen urratsa da aurkikuntza; ondoren datorren guztia zarata da.

Deabrua aktibo egon daiteke tunela erabil ezina den bitartean, eta hori da faltsuki gainditze ohikoena. Abioa amaitu daiteke sareak linean egon aurretik, unitateak network-online.target-ren ordez network.target soilik itxaroten badu. Erreferentziatutako fitxategiak, hala nola ziurtagiriak, gakoak edo CRL bat, irakurtezinak izan daitezke une horretan, muntaketa edo sekretuen bide bat oraindik prest ez dagoelako. Bi arazoetatik batek ere ez du systemctl status-n agertzen unitatearen egunkaria irakurtzen duzun arte.

Probatu ostalariaren kanpotik. LAN berean dagoen bezero batek inoiz erabiliko ez lukeen ibilbide batetik arrakasta izan dezake, eta makinarako SSH saio batek ez du tunelari buruz ezer frogatzen. Konektatu, barne-izen bat ebatzi, baliabide pribatura iritsi, eta gero berriro konektatu behin errebokazio-egoerak eta gakoek oraindik balio dutela egiaztatzeko.

Zure konponketa erabakitzen duten hiru baldintzak

Tunela itzultzen bada baina bezeroek ezer lortzen ez badute, hutsegitea bideratzean edo NATaren iraunkortasunean dago. Bezeroek handshake bat ere osatu ezin badute, hutsegitea interfazean edo autentifikazio-materialean dago. Zerbitzua inoiz abiarazten ez bada, hutsegitea unitate-fitxategian edo haren mendekotasunetan dago. Adar horiek hirurek konponketa desberdinetara eramaten dute, eta horregatik oinarri-lerrorik gabeko berrabiarazte itsuak denbora gehiago kostatzen du, aurrezten duena baino.

Egin konponketa ezarpenaren jabetza dagoen tokian. Jarri birbidaltzea sysctl drop-in batean, jarri NAT arauak abioan kargatzen den arau-multzoan, gaitu unitatea abiarazi ordez, eta gorde sekretuak unitatea abiarazi aurretik existitzen den bide batean. Unitateari lo bat gehitzeak mendekotasun bat ezkutatzen du, hura deklaratu ordez.

Erregistratu emaitza runbookean

Idatzi bere kabuz zer itzuli zen, zer abiarazi behar izan zenuen eta zenbat iraun zuen hutsuneak. Sartu egiaztatzeko erabili dituzun komando zehatzak, hurrengo pertsonak proba errepika dezan, berri bat asmatu ordez. Urratsen batek komando eskuzko bat behar izan bazuen, komando hori konfigurazioan dagokio, ez runbookean urrats iraunkor gisa.

Gero programatu hurrengo proba ostalariaren sare-pilaren hurrengo aldaketaren ondorengo, ez sei hilabete barruko egutegi-data baterako. Babesten ari zaren hutsegite-modua betiko sentitu zen aldi baterako komando bat da, eta horiek orduan agertzen dira, norbaitek suebakiko arauak editatzen edo zerbitzua unitate berri batera mugitzen duenean.