לנטר VPN בנתב בלי לסמוך על נורית סטטוס אחת
מצב העמית, המסלול הנבחר ובדיקת יישום מורשית עונים על שאלות שונות. התריעו על הגבול שנכשל, לא על סמל ירוק.
עמוד הסטטוס אומר מחובר, הנורית ירוקה, והמשרד לא מצליח להגיע לשרת הקבצים. אחת העובדות האלה נוגעת למנהרה והאחרת לנתיב דרכה. ניטור של שתיהן הוא ההבדל בין התראה שאפשר לפעול לפיה לבין כזו שלומדים להתעלם ממנה.
חמישה בדיקות, לפי הסדר, מהעמית החוצה.
בדיקה 1: מצב העמית או השיוך
כל פרוטוקול חושף את המצב שלו. WireGuard מציג את הלחיצה האחרונה ואת מוני ההעברה לכל עמית דרך wg show. OpenVPN כותב את מצב ההפעלה לקובץ המצב או לממשק הניהול, ו-IPsec חושף שיוכי אבטחה דרך כלים כמו ipsec statusall. המלכודת היא לקרוא חותמת זמן כפסק דין: עמית WireGuard בטל שאין לו מה לשלוח לא ילחץ לאחרונה, וזו אינה תקלה.
השוו את חותמת הזמן לתעבורה הצפויה ולהגדרות keepalive לפני שאתם מזעיקים מישהו.
בדיקה 2: המסלול הנבחר
ממשק מנהרה יכול להתקיים בעוד ששום דבר לא מנתב אליו. בדקו את טבלת ההעברה עבור היעד שמעניין אתכם, לא עבור תת-הרשת של המנהרה עצמה. אם הקידומת חסרה או מצביעה למקום אחר, מצב העמית אינו רלוונטי.
הבדיקה הזו תופסת את התקלה שנורית סטטוס לעולם אינה מראה.
בדיקה שנייה שימושית משווה גם את כתובת המקור. ip route get 10.20.5.10 מחזיר את הקפיצה הבאה, את הממשק ואת המקור המועדף, ומקור שגוי מספיק כדי לשבור את תעבורת החזרה בקצה המרוחק. רשמו את השלשה הצפויה פעם אחת, ואז התריעו כשמרכיב כלשהו משתנה. השורה האחת הזו תופסת שינויי NAT, תנודות ממשק וטעויות ניתוב לפי מדיניות.
בדיקה 3: נתיב יישום מורשה
בדקו משהו שמייצג את הדרישה בפועל. פינג שמקורו בנתב יוצא מהכתובת והמדיניות של הנתב עצמו, שעשויות להיות שונות מתעבורת LAN מועברת, ומארחים רבים מגבילים ICMP. אם הדרישה היא שירות פרטי, בדקו את השירות הזה בפורט האמיתי שלו.
שמרו על נפח בדיקה מתון. לולאת ניטור לא צריכה להפוך לתעבורה שהיא מודדת.
בדיקה 4: מה השתנה ומתי
תאמו שינויי WAN, חידוש מפתחות, משיכת מסלולים וכשלי יישומים על ציר זמן אחד. הבחינו בין כשל מנהרה לבין מסלול גיבוי שמשחזר בשקט גישה רגילה לאינטרנט, כי שניהם מייצרים דיווחי משתמש זהים ואבחנות הפוכות. שגיאות אזור זמן יהפכו את הסדר, לכן נרמלו לפני ההשוואה. ציר הזמן הוא מה שהופך ארבע בדיקות לסיבה.
שמרו יומנים עבור המעברים, לא עבור המטען.
בדיקה 5: ההתראה צריכה לנקוב בשם הגבול
התראה שאומרת VPN למטה שולחת מישהו למקום הלא נכון בחצי מהמקרים. התראה שאומרת שלחיצת העמית מיושנת כבר שתים עשרה דקות, שהמסלול אל 10.20.0.0/16 חסר, או שהבדיקה לפורט 445 נכשלת, מצביעה על בדיקה מסוימת.
החזיקו מוני תפעול במקום לדפדף במטענים. מונים עונים על שאלת הניטור בלי לאסוף תוכן שאין לכם צורך בו.
ותנו למדיניות המעבר להחליט מה קורה הלאה. הניטור אמור לזהות איזה גבול נכשל, לא לאשר עקיפה רחבה בכל פעם שבדיקה נכשלת. המדריך של OpenVPN 2.6 מתעד את קובץ המצב ואת ממשק הניהול שהופכים את הבדיקה הראשונה לניתנת לסקריפט.