Hvernig á að athuga hvort Linux VPN-göng séu í raun uppi

Cron endurræsir fullkomlega heilbrigt VPN á tíu mínútna fresti, og sama starfið skilur dautt eftir í gangi í heila viku. Bæði mistökin koma af því að meðhöndla «uppi» sem eina staðreynd þegar hún er að minnsta kosti fjórar. Tæki getur verið stjórnunarlega virkt, rétt beint, fullkomlega dulritað og samt flutt ekkert nytsamlegt. Aðskiljið fyrst athuganirnar, og athugunin skrifar sig næstum sjálf.

Tengifánar lýsa tækinu, ekki leiðinni

Athugunin sem allir afrita leitar að vélbúnaðarfangi úr hreinum núllum. Þetta bragð aðskilur raunverulegt viðmót frá staðgengli í sumum reklum og sannar ekkert í hinum, því tun-tæki hefur alls ekki MAC-fang til að tilkynna. ip -brief link show tun0 gefur þess í stað fána: UP þýðir að stjórnandi virkjaði tækið, og LOWER_UP þýðir að rekillinn telur tenginguna nothæfa. Lesnir saman segja þeir að tækið sé til og sé ekki stjórnunarlega slökkt. Hvorugir segja að pakki hafi eitthvað hvert að fara.

OpenVPN býr til tun-tækið sitt áður en leiðir eru settar upp, svo fánarnir geta litið fullkomnir út á meðan ekkert er beint. Meðhöndlið þá sem forsendu, aldrei sem svarið.

Spyrjið hvert pakki myndi fara

Leiðarleitin svarar spurningunni sem fánarnir geta ekki. ip route get 10.8.0.1 from 10.8.0.2 nefnir viðmótið, upprunafangið og töfluna sem kjarninn myndi nota, og það er einmitt það sem skipt geymir þarf að athugast gegn. Án upprunafangsins ertu að spyrja annars, og með stefnuleiðbeiningum getur svarið verið mismunandi eftir uppruna. Þetta er ódýrasta heiðarlega prófunin, því hún ráðfærir sig við sömu reglur og umferðin þín mun nota.

Fyrir WireGuard, bætið handabandinu við. wg show prentar tímastimpla síðasta handabands fyrir hvert jafningja, og stimpill sem hætti að þróast þýðir að jafninginn er farinn, sama hvað tengifánarnir segja. Uppsett viðmót án nýlegs handabands er eitt algengasta falska jákvæða í heimagerðri vöktun.

Tafla 220 segir sögu IPsec

strongSwan setur upp leiðir fyrir samningsbundna vala í töflu 220 þegar uppsetning leiða er virk. ip route list table 220 því aðskilur samningsbundið frá beintu: tóm tafla við hlaðna tengingu þýðir að SA IKE og CHILD risu upp á meðan engri umferð er beint inn í þau. Athugið ip xfrm state við hliðina, því hún telur upp uppsettu öryggjasamtökin og endapunkta þeirra.

Gildrustefna er það tilfelli sem þarf að varast. Hún bíður áhugaverðrar umferðar í stað þess að beina henni, svo taflan helst tóm þar til eitthvað hvetur göngin.

Staða stjórnanda og staða daemon eru mismunandi listar

NetworkManager telur aðeins upp þær tengingar sem það á. nmcli -t -f NAME,TYPE connection show --active skilar engu fyrir göng sem ræst voru beint af wg-quick eða af OpenVPN-daemon.

Sá munur skiptir máli þegar skrifta þarf að ákveða hvorn af tveimur stjórnendum að spyrja. Veljið þann sem raunverulega á göngin á þessum vél og hunsa þögn hins. Ef báðir eru til, ákveðið hvor er ráðandi og slökkvið á hinum, því tveir stjórnendur sem endurskrifa leiðir á einu viðmóti framleiða bilanir sem enginn getur endurtekið. Fjarverandi færsla er upplýsing um stjórnandann, ekki um göngin.

Skilyrtu næsta skref á þá prófun sem það þarf

Að kanna UDP-gátt sannar ekkert um reiðubúið, því UDP hefur ekkert handaband og nc -u tekst um leið og pakkinn fer. Kannió hvað næsta skref eyðir í raun: TCP-tengingu við framsent gátt, beiðni til vélar sem er inni í göngunum, nafn sem leysist aðeins þar. Takmarkið bið með tímamörkum og fjölda tilrauna, og mistakist hátt þegar þau klárast.

Krókar betri en kannanir þegar biðlarinn býður þá. --up og --down skriftur OpenVPN keyra eftir að viðmótið breytir stöðu, sem fjarlægir kapphlaupið algjörlega, en þær keyra með réttindunum sem daemoninn hélt. Ef OpenVPN féll niður í óréttindum reikning í gegnum user og group, keyrir krókurinn sem sá reikningur. Endurræsing kerfisþjónustu krefst þá sudo til að leyfa nákvæmlega þá skipun. Felið endurtekninguna þjónustustjórnandanum í stað cron-lúppu: takmörkuð endurræsingarstefna með ræsingarmörkum sýnir brotin göng, en ótakmörkuð lúppa felur þau endalaust.