Linux жүйесіндегі VPN туннелінің шын мәнінде жұмыс істеп тұрғанын қалай тексеруге болады

Cron әр он минут сайын мүлдем сау VPN-ді қайта іске қосады, ал сол жұмыс өлі VPN-ді бір апта бойы жұмыс істеп тұруға қалдырады. Екі сәтсіздік те «жұмыс істеп тұр» дегенді кемінде төрт факті болса да, бір факт ретінде қараудан туындайды. Құрылғы әкімшілік түрде қосылған, дұрыс маршрутталған, толық шифрланған болып, бәрібір пайдалы ештеңе тасымауы мүмкін. Алдымен бақылауларды ажыратыңыз, сонда тексеру өзі жазыла жүреді.

Байланыс жалаушалары құрылғыны сипаттайды, жолды емес

Барлығы көшіретін тексеру тек нөлдерден тұратын аппараттық мекенжайды іздейді. Бұл айла кейбір драйверлерде нағыз интерфейсті орнын басушыдан ажыратады, қалғандарында ештеңе дәлелдемейді, өйткені tun құрылғысында хабарлайтын MAC мүлде жоқ. ip -brief link show tun0 орнына жалаушалар береді: UP әкімші құрылғыны қосқанын білдіреді, ал LOWER_UP драйвер байланысты пайдалануға жарамды деп санайтынын білдіреді. Бірге оқығанда, олар құрылғының бар екенін және әкімшілік түрде өшірілмегенін айтады. Екеуі де пакеттің барар жері бар екенін айтпайды.

OpenVPN маршруттар орнатылмай тұрып өзінің tun құрылғысын жасайды, сондықтан ештеңе маршрутталмаса да жалаушалар мінсіз көрінуі мүмкін. Оларды алғышарт ретінде қарастырыңыз, ешқашан жауап ретінде емес.

Пакет қайда баратынын сұраңыз

Маршрут іздеу жалаушалар жауап бере алмайтын сұраққа жауап береді. ip route get 10.8.0.1 from 10.8.0.2 интерфейсті, бастау мекенжайын және ядро қолданатын кестені атайды, ал бөлінген туннельді дәл соған қарсы тексеру керек. Бастау мекенжайынсыз сіз басқа нәрсені сұрап отырсыз, ал саясаттық маршруттауда жауап көзге қарай өзгеруі мүмкін. Бұл ең арзан адал сынақ, өйткені ол сіздің трафигіңіз қолданатын ережелердің дәл өзінен сұрайды.

WireGuard үшін қол алысуды қосыңыз. wg show әр тіркеме үшін соңғы қол алысу уақыт белгісін шығарады, ал ілгерілеуді тоқтатқан белгі тіркеменің кеткенін білдіреді, интерфейс жалаушалары не десе де. Жақында қол алысуы жоқ конфигурацияланған интерфейс үйдегі мониторингтегі ең жиі жалған оң нәтижелердің бірі.

220 кестесі IPsec тарихын баяндайды

strongSwan маршрут орнату қосылған кезде келісілген селекторлардың маршруттарын 220 кестесіне орнатады. ip route list table 220 сондықтан келісілгенді маршрутталғаннан ажыратады: жүктелген қосылымның жанындағы бос кесте IKE және CHILD SA көтерілгенін, бірақ оларға ешқандай трафик бағытталмағанын білдіреді. Тексеріңіз ip xfrm state оның жанында, өйткені ол орнатылған қауіпсіздік бірлестіктерін және олардың соңғы нүктелерін тізімдейді.

Тұзақ саясаты — назар аудару қажет жағдай. Ол маршруттаудың орнына қызықты трафикті күтеді, сондықтан бірдеңе туннельді іске қоспайынша кесте бос қалады.

Менеджер күйі және демон күйі — бөлек тізімдер

NetworkManager тек өзіне тиесілі қосылымдарды тізімдейді. nmcli -t -f NAME,TYPE connection show --active тікелей wg-quick немесе OpenVPN демоны арқылы басталған туннель үшін ештеңе қайтармайды.

Бұл айырмашылық скрипт екі менеджердің қайсысынан сұрауды шешуге тиіс болғанда маңызды. Осы хостта туннельге шынымен иелік ететінсін таңдап, екіншісінің үнсіздігін елемеңіз. Екеуі де болса, қайсысы өкілетті екенін шешіп, екіншісін өшіріңіз, өйткені бір интерфейсте маршруттарды қайта жазатын екі менеджер ешкім қайталай алмайтын ақаулар тудырады. Жоқ жазба — менеджер туралы ақпарат, туннель туралы емес.

Келесі қадамды оған қажет тексеруге байланыстырыңыз

UDP портын тексеру дайындық туралы ештеңе дәлелдемейді, өйткені UDP-де қол алысу жоқ және nc -u пакет шыққан бойда сәтті болады. Келесі қадам шынымен нені тұтынатынын тексеріңіз: қайта бағытталған портқа TCP қосылымы, туннель ішіндегі хостқа сұраныс, тек сонда шешілетін атау. Күтуді уақыт шегімен және әрекет санымен шектеп, олар таусылғанда қатты сәтсіздікке ұшыраңыз.

Клиент ұсынса, ілмектер сұраудан артық. --up және --down OpenVPN скрипттері интерфейс күйі өзгергеннен кейін іске қосылады, бұл жарысты толық жояды, бірақ олар демон сақтаған артықшылықтармен жұмыс істейді. Егер OpenVPN user және group арқылы артықшылығы жоқ тіркелгіге түссе, ілмек сол тіркелгі ретінде жұмыс істейді. Жүйелік қызметті қайта іске қосу сонда дәл сол командаға рұқсат беру үшін sudo талап етеді. Қайта әрекетті cron цикліне емес, қызмет менеджеріне тапсырыңыз: іске қосу шегі бар шектелген қайта іске қосу саясаты сынған туннельді айқындайды, ал шексіз цикл оны шексіз жасырады.