Linux'тогу VPN туннелинин чындап иштеп жатканын кантип текшерүү керек

Cron ар он минут сайын толук дени сак VPN'ди кайра иштетет, ал эми ошол эле жумуш өлүк VPN'ди бир жума бою иштеп турууга калтырат. Эки кемчилик тең «иштеп турат» дегенди жок дегенде төрт факт болсо да, бир факт катары кароодон келип чыгат. Түзмөк административдик жактан күйгүзүлүп, туура маршрутталып, толук шифрленип, баары бир пайдалуу эч нерсе ташыбашы мүмкүн. Адегенде байкоолорду бөлүңүз, ошондо текшерүү дээрлик өзү жазылат.

Байланыш желекчелери түзмөктү сүрөттөйт, жолду эмес

Баары көчүргөн текшерүү толугу менен нөлдөн турган аппараттык даректи издейт. Бул айла кээ бир драйверлерде чыныгы интерфейсти орун басардан ажыратат, калгандарында эч нерсени далилдебейт, анткени tun түзмөгүндө билдирүүчү MAC такыр жок. ip -brief link show tun0 анын ордуна желекчелерди берет: UP администратор түзмөктү күйгүзгөнүн билдирет, ал эми LOWER_UP драйвер байланышты колдонууга жарактуу деп эсептешин билдирет. Чогуу окуганда, алар түзмөк бар экенин жана административдик жактан өчүрүлбөгөнүн айтат. Экөө тең пакеттин бара турган жери бар экенин айтпайт.

OpenVPN маршруттар орнотулганга чейин өзүнүн tun түзмөгүн түзөт, ошондуктан эч нерсе маршрутталбаса да желекчелер кынтыксыз көрүнүшү мүмкүн. Аларды шарт катары караңыз, эч качан жооп катары эмес.

Пакет кайда барарын сураңыз

Маршрут издөө желекчелер жооп бере албаган суроого жооп берет. ip route get 10.8.0.1 from 10.8.0.2 интерфейсти, булак дарегин жана ядро колдоно турган таблицаны атайт, ал эми бөлүнгөн туннелди так ошого каршы текшерүү керек. Булак дареги жок болсо, сиз башка нерсени сурап жатасыз, ал эми саясаттык маршруттоодо жооп булакка жараша ар башка болушу мүмкүн. Бул эң арзан акыйкат сынак, анткени ал сиздин трафигиңиз колдоно турган эле эрежелерден сурайт.

WireGuard үчүн кол алышууну кошуңуз. wg show ар бир шериктин акыркы кол алышуусунун убакыт белгисин басып чыгарат, ал эми илгерилөөнү токтоткон белги шерик кеткенин билдирет, интерфейс желекчелери эмне десе да. Жакында кол алышуусу жок конфигурацияланган интерфейс үй шартындагы мониторингдеги эң көп кездешкен жалган оң жыйынтыктардын бири.

220-таблица IPsec'тин окуясын айтып берет

strongSwan маршрут орнотуу күйгүзүлгөндө келишилген селекторлордун маршруттарын 220-таблицага орнотот. ip route list table 220 ошондуктан келишилгенди маршрутталгандан ажыратат: жүктөлгөн байланыштын жанындагы бош таблица IKE жана CHILD SA көтөрүлгөнүн, бирок аларга эч кандай трафик багытталбаганын билдирет. Текшериңиз ip xfrm state анын жанында, анткени ал орнотулган коопсуздук бирикмелерин жана алардын акыркы чекиттерин тизмелейт.

Тузок саясаты — көңүл буруу керек болгон учур. Ал маршруттоонун ордуна кызыктуу трафикти күтөт, ошондуктан бир нерсе туннелди иштетмейинче таблица бош бойдон калат.

Менеджер абалы жана демон абалы — башка тизмелер

NetworkManager өзүнө таандык байланыштарды гана тизмелейт. nmcli -t -f NAME,TYPE connection show --active түз wg-quick же OpenVPN демону аркылуу башталган туннел үчүн эч нерсе кайтарбайт.

Бул айырма скрипт эки менеджердин кайсынысынан суроону чечкенде маанилүү. Бул хосттогу туннелге чындап ээ болгонун тандап, экинчисинин үнсүздүгүн этибарга албаңыз. Экөө тең болсо, кайсынысы ыйгарымдуу экенин чечип, экинчисин өчүрүңүз, анткени бир интерфейсте маршруттарды кайра жазган эки менеджер эч ким кайталай албаган бузулууларды жаратат. Жок жазуу — менеджер жөнүндө маалымат, туннел жөнүндө эмес.

Кийинки кадамды ага керектүү текшерүүгө байланыштырыңыз

UDP портун текшерүү даярдык жөнүндө эч нерсени далилдебейт, анткени UDP'де кол алышуу жок жана nc -u пакет чыккан замат ийгиликке жетет. Кийинки кадам чындап эмнени керектей турганын текшериңиз: кайра багытталган портко TCP туташуу, туннелдин ичиндеги хостко сурам, ошол жерде гана чечилген ат. Күтүүнү убакыт чеги жана аракеттердин саны менен чектеп, алар түгөнгөндө катуу ийгиликсиз болуңуз.

Кармоочуларды кардар сунуштаганда, алар суроодон артык. --up жана --down OpenVPN скрипттери интерфейстин абалы өзгөргөндөн кийин иштейт, бул жарышты толук жоёт, бирок алар демон сактаган артыкчылыктар менен иштейт. Эгер OpenVPN user жана group аркылуу артыкчылыгы жок эсепке түшсө, кармоочу ошол эсеп катары иштейт. Системалык кызматты кайра иштетүү анда так ошол буйрукка уруксат берүү үчүн sudo талап кылат. Кайталоону cron циклинен эмес, кызмат менеджерине тапшырыңыз: иштетүү чеги бар чектелген кайра иштетүү саясаты бузулган туннелди ачыкка чыгарат, ал эми чексиз цикл аны чексиз жашырат.