نظارت بر VPN روتر بدون اعتماد به یک چراغ وضعیت

صفحه وضعیت می‌گوید متصل است، چراغ سبز است و دفتر به سرور فایل دسترسی ندارد. یکی از این واقعیت‌ها درباره تونل است و دیگری درباره مسیر عبور از آن. نظارت بر هر دو، تفاوت میان هشداری است که می‌توانید بر اساس آن اقدام کنید و هشداری که یاد می‌گیرید نادیده بگیرید.

پنج بررسی، به ترتیب، از همتا به بیرون.

بررسی 1: وضعیت همتا یا تداعی

هر پروتکل وضعیت خودش را آشکار می‌کند. WireGuard آخرین دست‌دادن و شمارنده‌های انتقال هر همتا را از طریق wg show نشان می‌دهد. OpenVPN وضعیت نشست را در پرونده وضعیت یا رابط مدیریت می‌نویسد و IPsec تداعی‌های امنیتی را با ابزارهایی مانند ipsec statusall آشکار می‌کند. تله این است که مُهر زمان را حکم بخوانید: همتای بیکار WireGuard که چیزی برای فرستادن ندارد به‌تازگی دست نمی‌دهد و این قطعی نیست.

پیش از اینکه کسی را خبر کنید، مُهر زمان را با ترافیک مورد انتظار و تنظیمات keepalive مقایسه کنید.

بررسی 2: مسیر انتخاب‌شده

یک رابط تونل می‌تواند وجود داشته باشد در حالی که چیزی به آن مسیریابی نمی‌شود. جدول ارسال را برای مقصدی که برایتان مهم است بررسی کنید، نه برای زیرشبکه خود تونل. اگر پیشوند غایب باشد یا جای دیگری را نشان دهد، وضعیت همتا بی‌ربط است.

این بررسی نقصی را می‌گیرد که چراغ وضعیت هرگز نشان نمی‌دهد.

یک بررسی دوم مفید، نشانی مبدأ را هم مقایسه می‌کند. ip route get 10.20.5.10 گام بعدی، رابط و مبدأ ترجیحی را برمی‌گرداند و یک مبدأ نادرست کافی است تا ترافیک برگشتی در انتهای دور بشکند. سه‌گانه مورد انتظار را یک بار ثبت کنید و سپس هرگاه عنصری تغییر کرد هشدار بدهید. همین یک خط تغییرات NAT، نوسان رابط و اشتباهات مسیریابی مبتنی بر سیاست را می‌گیرد.

بررسی 3: مسیر مجاز یک برنامه

چیزی را بیازمایید که نماینده نیاز واقعی باشد. پینگ از روتر با نشانی و سیاست خود روتر خارج می‌شود که می‌تواند با ترافیک LAN ارسال‌شده متفاوت باشد و بسیاری از میزبان‌ها ICMP را محدود می‌کنند. اگر نیاز یک سرویس خصوصی است، آن سرویس را روی درگاه واقعی‌اش بیازمایید.

حجم آزمون را کم نگه دارید. حلقه نظارت نباید به همان ترافیکی تبدیل شود که اندازه می‌گیرد.

بررسی 4: چه چیزی و چه زمانی تغییر کرد

تغییرات WAN، تازه‌سازی کلیدها، پس‌گیری مسیرها و شکست برنامه‌ها را روی یک خط زمانی به هم پیوند دهید. شکست تونل را از مسیر جایگزینی که بی‌صدا دسترسی عادی به اینترنت را برمی‌گرداند جدا کنید، چون هر دو گزارش‌های کاربر یکسان و تشخیص‌های متضاد تولید می‌کنند. خطاهای منطقه زمانی ترتیب را برعکس می‌کنند، پس پیش از مقایسه یکسان‌سازی کنید. خط زمانی است که چهار بررسی را به یک علت تبدیل می‌کند.

گزارش‌ها را برای گذارها نگه دارید، نه برای بار مفید.

بررسی 5: هشدار باید مرز را نام ببرد

هشداری که می‌گوید VPN قطع است، در نیمی از مواقع کسی را به جای اشتباه می‌فرستد. هشداری که می‌گوید دست‌دادن همتا دوازده دقیقه کهنه است، مسیر به 10.20.0.0/16 غایب است یا آزمون درگاه 445 شکست می‌خورد، به بررسی مشخصی اشاره می‌کند.

شمارنده‌های عملیاتی را نگه دارید نه اینکه بارها را مرور کنید. شمارنده‌ها به پرسش نظارت پاسخ می‌دهند بدون جمع‌آوری محتوایی که به آن نیاز ندارید.

و بگذارید سیاست جایگزینی تصمیم بگیرد که بعد چه شود. نظارت باید مشخص کند کدام مرز شکست خورد، نه اینکه هر بار که آزمونی شکست می‌خورد یک دور زدن گسترده را مجاز کند. راهنمای OpenVPN 2.6 پرونده وضعیت و رابط مدیریت را مستند می‌کند که بررسی نخست را قابل اسکریپت می‌کند.