Prófaðu endurheimt VPN-þjóns eftir endurræsingu: hvað á að athuga fyrst

Endurræstu þjóninn án þess að nokkur sé innskráður og tengstu svo frá neti sem þú stjórnar ekki. Þetta eina próf svarar því hvort endurheimtin er raunveruleg, því göng sem virka aðeins eftir að einhver keyrir skipun fyrir hönd sér eru ekki endurheimt heldur viðgerð. Flestar athuganir stöðva of fljótt: þjónustan sýnist virk, viðmótið kemur upp og síðan hleðst samt ekki. Bilið er næstum alltaf í varanleika hlutanna í kringum göngin, ekki í skipun gagnanna sjálfra.

Fjórir eigendur, fjögur mismunandi próf

Fyrir endurræsinguna skaltu nefna hvað á að koma göngunum aftur. Prófið sem þú keyrir og lagfæringin sem þú beitir ráðast bæði af því svari, og það eru fjórir algengir eigendur: systemd-eining fyrir VPN-þjónustuna, wg-quick-eining fyrir WireGuard-viðmót, keyrsluumhverfi gáma eða prófíll netstjóra. Ef þú getur ekki nefnt eigandann skaltu stöðva og finna hann, því endurræsingarpróf án væntrar ræsi leiðar segir þér aðeins að eitthvað hafi gerst.

Hver eigandi geymir stillingar sínar á öðrum stað. OpenVPN-þjónn sem systemd stjórnar les stillingarnar við ræsingu, svo það sem er í skránni við ræsingu er það sem keyrir. wg-quick-viðmót dregur vistföng sín, leiðir og DNS úr sömu skrá, sem þýðir að viðmót sem er ræst handvirkt úr skel og aldrei gert virkt sem eining kemur ekki aftur. Gámur kemur inngangsstaðnum sínum aftur en ekki eldveggjarbreytingum hýsilsins nema þær búi utan gámsins.

Grunnlína fyrst, annars þýðir niðurstaðan ekkert

Skráðu vinnuástandið meðan það virkar: vistföng á göngunum, leiðir fyrir undirnet biðlara, NAT- eða framsendingarreglur, hlustunarjakann og framsendingar-sysctl. ip addr show wg0, ip route, nft list ruleset eða iptables-save, ss -lunp og sysctl net.ipv4.ip_forward duga á flestum hýslum.

Skráðu hvernig þjónustan er stillt til ræsingar, ekki bara að hún keyri. systemctl is-enabled wg-quick@wg0 og systemctl is-active wg-quick@wg0 svara mismunandi spurningum, og það er virka ástandið sem skiptir máli við ræsingu, eins og lýst er í systemctl(1). Fyrir OpenVPN skaltu athuga hvaða sniðmát hýsillinn notar, því openvpn@server og openvpn-server@server eru mismunandi einingar með mismunandi sjálfgefnum gildum.

Keyrðu endurræsinguna og lestu fyrstu bilunina

Endurræstu viljandi, innan glugga sem þú valdir, með opinni stjórnborði eða leið utan bands. Fylgstu með röð atburða frekar en lokastöðunni: hýsillinn náanlegur, einingin virkjuð, viðmótið til staðar, leiðirnar uppsettar, eldveggjarreglurnar til staðar, hlustandinn bundinn, biðlarinn samþykktur. Fyrsta skrefið sem verður ekki er niðurstaðan; allt eftir það er hávaði.

Þjónusta getur verið virk á meðan göngin eru ónothæf, og það er algengasta falska samþykkið. Ræsing getur klárast áður en netið er á netinu ef einingin bíður aðeins network.target í stað network-online.target. Skrár sem vísað er til, eins og skírteini, lyklar eða CRL, geta verið ólæsilegar á þeirri stundu því festing eða slóð leyndarmála er ekki til reiðu enn. Hvorugt vandamálið birtist í systemctl status fyrr en þú lest dagbók einingarinnar.

Prófaðu utan hýsilsins. Biðlari á sama LAN getur náð árangri um leið sem enginn fjartengdur biðlari myndi nokkurn tíma nota, og SSH-seta á vélina sannar ekkert um göngin. Tengstu, leystu innra nafn, náðu einkaaðlindinni og tengstu svo einu sinni í viðbót til að staðfesta að afturköllunarstaðan og lyklarnir gildi enn.

Þrjú skilyrði sem ráða lagfæringunni þinni

Ef göngin koma aftur en biðlarar ná engu, er bilunin í leiðakerfinu eða varanleika NAT. Ef biðlarar geta ekki einu sinni klárað handaband, er bilunin í viðmótinu eða auðkenningarefninu. Ef þjónustan ræsist aldrei, er bilunin í einingarskránni eða ósjálfstæðum hennar. Þessar þrjár greinar leiða til mismunandi lagfæringa, og þess vegna kostar blind endurræsing án grunnlínu meiri tíma en hún sparar.

Gerðu lagfæringuna þar sem stillingin er í eigu. Settu framsendingu í sysctl drop-in, settu NAT-reglur í reglusafnið sem hleðst við ræsingu, virkjaðu eininguna í stað þess að ræsa hana, og haltu leyndarmálum á slóð sem er til áður en einingin ræsist. Að bæta svefni við eininguna felur ósjálfstæði í stað þess að lýsa því.

Skráðu niðurstöðuna í runbookið

Skrifaðu niður hvað kom aftur af sjálfu sér, hvað þú þurftir að ræsa og hversu lengi bilið varði. Taktu með nákvæmu skipanirnar sem þú notaðir til að sannreyna, svo næsta manneskja endurtaki prófið í stað þess að finna upp nýtt. Ef eitthvert skref þurfti handvirka skipun, þá skipun á heima í stillingunum, ekki í runbookinu sem varanlegt skref.

Tímasettu næsta próf svo eftir næstu breytingu á netstakki hýsilsins, ekki á dagsetningu í dagatalssex mánuðum síðar. Bilanamódinn sem þú verndar gegn er tímabundin skipun sem virtist varanleg, og þær birtast einmitt þegar einhver breytir eldveggjarreglum eða flytur þjónustu í nýja einingu.