Ինչպես ստուգել, թե արդյոք Linux-ի VPN թունելը իրոք աշխատում է

Cron-ը յուրաքանչյուր տասը րոպեն մեկ վերագործարկում է լիովին առողջ VPN, և նույն առաջադրանքը մեռած մեկը թողնում է աշխատելու մի ամբողջ շաբաթ։ Երկու ձախողումներն էլ գալիս են նրանից, որ «աշխատում է»-ն ընկալվում է որպես մեկ փաստ, մինչդեռ այն առնվազն չորս է։ Սարքը կարող է լինել վարչականորեն միացված, ճիշտ երթուղղված, լրիվ գաղտնագրված և այդուամենայնիվ ոչինչ օգտակար չփոխանցել։ Սկզբում անջատեք դիտարկումները, և ստուգումը գրեթե ինքնըստինքյան կգրվի։

Կապի դրոշները նկարագրում են սարքը, ոչ թե ուղին

Ստուգումը, որ բոլորը պատճենում են, փնտրում է բացառապես զրոներից կազմված ապարատային հասցե։ Այդ հնարքը որոշ դրայվերներում տարանջատում է իսկական ինտերֆեյսը փոխարինողից, իսկ մնացածում ոչինչ չի ապացուցում, որովհետև tun սարքը սկզբից իսկ MAC չունի հաղորդելու։ ip -brief link show tun0 փոխարենը տալիս է դրոշներ: UP նշանակում է, որ ադմինիստրատորը միացրել է սարքը, և LOWER_UP նշանակում է, որ դրայվերը կապը համարում է օգտագործելի։ Միասին կարդացված՝ դրանք ասում են, որ սարքը գոյություն ունի և վարչականորեն անջատված չէ։ Դրանցից ոչ մեկը չի ասում, որ փաթեթն ունի ուր գնալու տեղ։

OpenVPN ստեղծում է իր tun սարքը մինչև երթուղիների տեղադրումը, ուստի դրոշները կարող են կատարյալ երևալ, մինչդեռ ոչինչ երթուղղված չէ։ Դրանք ընդունեք որպես նախապայման, երբեք՝ որպես պատասխան։

Հարցրեք՝ ուր կգնա փաթեթը

Երթուղու որոնումը պատասխանում է այն հարցին, որին դրոշները չեն կարող։ ip route get 10.8.0.1 from 10.8.0.2 անվանում է ինտերֆեյսը, աղբյուրի հասցեն և այն աղյուսակը, որը կօգտագործեր կորիզը, և հենց դա է, որի դեմ պետք է ստուգել բաժանված թունելը։ Առանց աղբյուրի հասցեի դուք այլ բան եք հարցնում, իսկ քաղաքականությամբ երթուղավորման դեպքում պատասխանը կարող է տարբեր լինել ըստ աղբյուրի։ Սա ամենաէժան ազնիվ փորձն է, որովհետև այն խորհրդակցում է նույն կանոնների հետ, որոնք օգտագործելու է ձեր թրաֆիկը։

WireGuard-ի համար ավելացրեք ձեռքսեղմումը։ wg show տպում է վերջին ձեռքսեղմման ժամանակային նշումը յուրաքանչյուր զույգի համար, և նշումը, որը դադարել է առաջ շարժվել, նշանակում է, որ զույգը գնացել է, ինչ էլ որ ասեն ինտերֆեյսի դրոշները։ Թարմ ձեռքսեղմում չունեցող կարգավորված ինտերֆեյսը տնային մոնիտորինգի ամենատարածված կեղծ դրականներից մեկն է։

220 աղյուսակը պատմում է IPsec-ի պատմությունը

strongSwan-ը տեղադրում է բանակցված ընտրիչների երթուղիները 220 աղյուսակում, երբ երթուղիների տեղադրումը միացված է։ ip route list table 220 այդպիսով տարանջատում է բանակցվածը երթուղղվածից: բեռնված կապի կողքին դատարկ աղյուսակը նշանակում է, որ IKE-ի և CHILD-ի SA-երը բարձրացան, մինչդեռ ոչ մի թրաֆիկ չի ուղղվում նրանց։ Ստուգեք ip xfrm state դրա կողքին, քանի որ այն ցուցակում է տեղադրված անվտանգության միավորումները և դրանց վերջավոր կետերը։

Թակարդի քաղաքականությունը այն դեպքն է, որին պետք է ուշադրություն դարձնել։ Այն սպասում է հետաքրքիր թրաֆիկի՝ փոխարենը երթուղղելու, ուստի աղյուսակը մնում է դատարկ, մինչև ինչ-որ բան գործարկի թունելը։

Կառավարչի վիճակը և դեմոնի վիճակը տարբեր ցանկեր են

NetworkManager-ը ցուցակում է միայն այն կապերը, որոնք իրենն են։ nmcli -t -f NAME,TYPE connection show --active ոչինչ չի վերադարձնում ուղղակիորեն wg-quick կամ OpenVPN դեմոնի կողմից գործարկված թունելի համար։

Այս տարբերությունը կարևոր է, երբ սկրիպտը պետք է որոշի, թե երկու կառավարիչներից որին հարցնի։ Ընտրեք այն, որն իրականում տիրապետում է թունելին այս հոսթում, և անտեսեք մյուսի լռությունը։ Եթե երկուսն էլ կան, որոշեք, թե որն է վճռորոշ, և անջատեք երկրորդը, որովհետև մեկ ինտերֆեյսի վրա երթուղիները վերագրող երկու կառավարիչները ստեղծում են խափանումներ, որոնք ոչ ոք չի կարող վերարտադրել։ Բացակայող գրառումը տեղեկություն է կառավարչի մասին, ոչ թե թունելի։

Հաջորդ քայլը կապեք այն ստուգմանը, որն այն պահանջում է

UDP պորտի քննումը ոչինչ չի ապացուցում պատրաստվածության մասին, որովհետև UDP-ն ձեռքսեղմում չունի, և nc -u հաջողվում է հենց որ փաթեթը դուրս է գալիս։ Քննեք, թե հաջորդ քայլն իրականում ինչ է սպառում: TCP միացում դեպի փոխանցված պորտը, հարցում թունելի ներսում գտնվող հոսթին, անուն, որը լուծվում է միայն այնտեղ։ Սահմանափակեք սպասումը ժամանակի սահմանով և փորձերի քանակով, և բարձր ձայնով ձախողեք, երբ այն սպառվի։

Կեռիկները հաղթում են քննմանը, երբ հաճախորդն առաջարկում է դրանք։ --up և --down OpenVPN-ի սկրիպտները գործարկվում են ինտերֆեյսի վիճակի փոփոխումից հետո, ինչը լրիվ վերացնում է մրցավազքը, բայց դրանք աշխատում են դեմոնի պահպանած արտոնություններով։ Եթե OpenVPN-ը user և group միջոցով իջել է անարտոնյալ հաշվի, կեռիկը աշխատում է այդ հաշվի անունից։ Համակարգի ծառայության վերագործարկումը այդ դեպքում պահանջում է sudo՝ հենց այդ հրամանը թույլատրելու համար։ Կրկնակի փորձը հանձնեք ծառայությունների կառավարչին, ոչ թե cron-ի հանգույցին: սահմանափակ վերագործարկման քաղաքականությունը մեկնարկի սահմանով բացահայտում է կոտրված թունելը, մինչդեռ անսահման հանգույցը թաքցնում է այն անորոշ ժամանակով։