დააკვირდით როუტერის VPN-ს ერთი სტატუსის ნათურის ნდობის გარეშე
პირის სტატუსი, არჩეული მარშრუტი და დაშვებული აპლიკაციის შემოწმება სხვადასხვა კითხვას პასუხობს. ალარმი გაუშვით იმ საზღვარზე, რომელიც ჩავარდა, და არა მწვანე ხატულაზე.
სტატუსის გვერდი ამბობს დაკავშირებულია, ნათურა მწვანეა, მაგრამ ოფისი ფაილურ სერვერს ვერ აღწევს. ამ ფაქტებიდან ერთი გვირაბს ეხება, მეორე კი მასში გამავალ გზას. ორივეს მონიტორინგი არის განსხვავება იმ გაფრთხილებას შორის, რომლის მიხედვითაც შეგიძლიათ იმოქმედოთ, და იმას შორის, რომლის იგნორირებასაც სწავლობთ.
ხუთი შემოწმება, თანმიმდევრობით, პირიდან გარეთ.
შემოწმება 1: პირის ან ასოციაციის სტატუსი
თითოეული პროტოკოლი თავის სტატუსს ავლენს. WireGuard აჩვენებს ბოლო ხელის ჩამორთმევას და გადაცემის მრიცხველებს თითოეული პირისთვის wg show-ის მეშვეობით. OpenVPN სესიის სტატუსს წერს თავის სტატუსის ფაილში ან მართვის ინტერფეისში, ხოლო IPsec უსაფრთხოების ასოციაციებს ავლენს ისეთი ხელსაწყოებით, როგორიცაა ipsec statusall. ხაფანგი ის არის, რომ დროის ნიშანი განაჩენად წაიკითხოთ: უმოქმედო WireGuard პირი, რომელსაც გასაგზავნი არაფერი აქვს, ცოტა ხნის წინ ხელს არ ჩამოართმევს, და ეს შეფერხება არ არის.
შეადარეთ დროის ნიშანი მოსალოდნელ ტრაფიკსა და keepalive-ის პარამეტრებს, სანამ ვინმეს გამოიძახებთ.
შემოწმება 2: არჩეული მარშრუტი
გვირაბის ინტერფეისი შეიძლება არსებობდეს, მაშინ როცა მასში არაფერი მარშრუტიზდება. შეამოწმეთ გადაცემის ცხრილი თქვენთვის მნიშვნელოვანი დანიშნულებისთვის, და არა თავად გვირაბის ქვექსელისთვის. თუ პრეფიქსი აკლია ან სხვაგან მიუთითებს, პირის სტატუსს მნიშვნელობა არ აქვს.
ეს შემოწმება იჭერს იმ გაუმართაობას, რომელსაც სტატუსის ნათურა არასოდეს აჩვენებს.
სასარგებლო მეორე შემოწმება ასევე ადარებს წყაროს მისამართს. ip route get 10.20.5.10 აბრუნებს შემდეგ ნახტომს, ინტერფეისს და სასურველ წყაროს, და არასწორი წყარო საკმარისია, რომ შორეულ ბოლოში დაბრუნების ტრაფიკი გატყდეს. ჩაწერეთ მოსალოდნელი სამეული ერთხელ, შემდეგ ალარმი გაუშვით, როცა რომელიმე ელემენტი შეიცვლება. ეს ერთი ხაზი იჭერს NAT-ის ცვლილებებს, ინტერფეისის რყევებს და პოლიტიკური მარშრუტიზაციის შეცდომებს.
შემოწმება 3: დაშვებული აპლიკაციის გზა
სცადეთ ის, რაც რეალურ მოთხოვნას წარმოადგენს. როუტერიდან წამოსული ping გამოდის როუტერის საკუთარი მისამართიდან და პოლიტიკიდან, რაც შეიძლება განსხვავდებოდეს გადაცემული LAN ტრაფიკისგან, და ბევრი ჰოსტი ზღუდავს ICMP-ს. თუ მოთხოვნა კერძო სერვისია, შეამოწმეთ ეს სერვისი მის რეალურ პორტზე.
შეინარჩუნეთ შემოწმების მოცულობა ზომიერად. მონიტორინგის ციკლი არ უნდა გახდეს ის ტრაფიკი, რომელსაც ზომავს.
შემოწმება 4: რა შეიცვალა და როდის
დააკავშირეთ WAN-ის ცვლილებები, გასაღებების განახლება, მარშრუტების უკან გატანა და აპლიკაციების ჩავარდნები ერთ დროის ხაზზე. განასხვავეთ გვირაბის ჩავარდნა სარეზერვო მარშრუტისგან, რომელიც ჩუმად აღადგენს ჩვეულებრივ ინტერნეტ წვდომას, რადგან ორივე იძლევა იდენტურ მომხმარებლის შეტყობინებებს და საპირისპირო დიაგნოზებს. დროის სარტყლის შეცდომები შეცვლის რიგს, ამიტომ ნორმალიზაცია გააკეთეთ შედარებამდე. დროის ხაზია ის, რაც ოთხ შემოწმებას მიზეზად აქცევს.
შეინახეთ ჟურნალები გადასვლებისთვის, და არა დატვირთვისთვის.
შემოწმება 5: ალარმა უნდა დაასახელოს საზღვარი
ალარმი, რომელიც ამბობს VPN გამორთულია, ნახევარ შემთხვევაში ადამიანს არასწორ ადგილას აგზავნის. ის, რომელიც ამბობს პირის ხელის ჩამორთმევა თორმეტი წუთით მოძველებულია, მარშრუტი 10.20.0.0/16-ზე აკლია, ან 445 პორტზე შემოწმება ვარდება, კონკრეტულ შემოწმებაზე მიუთითებს.
შეინახეთ ოპერაციული მრიცხველები დატვირთვების დათვალიერების ნაცვლად. მრიცხველები პასუხობენ მონიტორინგის კითხვას იმ შიგთავსის შეგროვების გარეშე, რაც არ გჭირდებათ.
და დაე, გადართვის პოლიტიკამ გადაწყვიტოს, რა მოხდება შემდეგ. მონიტორინგმა უნდა დაადგინოს, რომელი საზღვარი ჩავარდა, და არა ყოველ ჩავარდნილ შემოწმებაზე ფართო გვერდის ავლის ნებართვა მისცეს. OpenVPN 2.6-ის სახელმძღვანელო აღწერს სტატუსის ფაილსა და მართვის ინტერფეისს, რომლებიც პირველ შემოწმებას სკრიპტიზებადს ხდის.