Wéi een iwwerpréift, ob en Linux-VPN-Tunnel wierklech op ass

Cron startet all zéng Minutten e komplett gesonde VPN nei, an deeselwechte Job léisst en doudegen eng Woch lafen. Béid Feeler kommen dohier, datt «op» als eng eenzeg Tatsaach behandelt gëtt, obwuel et mindestens véier sinn. En Apparat kann administrativ aktivéiert, richteg routéiert, komplett verschlësselt sinn an trotzdem näischt Notzwesentleches droen. Trennt d'Observatiounen als éischt, an d'Prüfung schreift sech bal selwer.

D'Link-Flags beschreiwen den Apparat, net de Wee

D'Prüfung, déi all kopéieren, sicht no enger Hardwareadress aus lauter Nullen. Dësen Trick trennt a verschiddenen Treiber eng richteg Interface vun engem Platzhalter an an den aneren beweist en näischt, well en tun-Apparat guer keng MAC huet fir ze mellen. ip -brief link show tun0 gëtt amplaz Flags: UP bedeit, datt en Administrateur den Apparat aktivéiert huet, an LOWER_UP bedeit, datt den Treiber de Link als notzbar ugesäit. Zesumme gelies soen se, datt den Apparat existéiert an net administrativ ausgeschalt ass. Keent vun deenen zwee seet, datt e Pakett iergendwouhi ka goen.

OpenVPN baut säin tun-Apparat op, ier Routen installéiert ginn, sou datt d'Flags perfekt ausgesi kënnen, während näischt routéiert ass. Behandelt se als Viraussetzung, ni als Äntwert.

Frot, wou e Pakett higeet

D'Routen-Ufro beäntwert d'Fro, déi d'Flags net kënnen. ip route get 10.8.0.1 from 10.8.0.2 nennt d'Interface, d'Quelladress an d'Tabell, déi de Kernel géif benotzen, an dat ass genee dat, géint wat en opgespléckten Tunnel gepréift muss ginn. Ouni d'Quelladress frot Dir eppes anescht, an a Policy-Routing ka d'Äntwert pro Quell ënnerschiddlech sinn. Dëst ass dee bëllegsten éierleche Test, well en déi selwecht Regele consultéiert, déi Äre Verkéier benotze wäert.

Fir WireGuard, füügt den Handshake derbäi. wg show dréckt eng Zäitstempel vum leschte Handshake pro Peer, an eng Zäitstempel, déi opgehalen huet weiderzekommen, bedeit, datt de Peer futti ass, egal wat d'Interface-Flags soen. Eng konfiguréiert Interface ouni rezenten Handshake ass ee vun deene heefegste falsche Positiven an der hausgemaacher Iwwerwaachung.

Tabell 220 erzielt dem IPsec seng Geschicht

strongSwan installéiert Routen fir ausgehandelt Selektoren an der Tabell 220, wann d'Routeninstallatioun aktivéiert ass. ip route list table 220 trennt dofir ausgemaacht vun routéiert: eng eidel Tabell nieft enger geluedener Verbindung bedeit, datt d'IKE- an CHILD-SAen opkomm sinn, während keen Verkéier a se geleet gëtt. Préift ip xfrm state dernieft, well et déi installéiert Sécherheetsassociatiounen an hir Endpunkte lëscht.

Eng Falpolitik ass de Fall, op deen een oppasse soll. Se waart op interessanten Verkéier amplaz en ze routéieren, sou datt d'Tabell eidel bleift, bis eppes den Tunnel ausléist.

Manager-Zoustand an Daemon-Zoustand sinn ënnerschiddlech Lëschten

NetworkManager lëscht nëmmen d'Verbindungen, déi him gehéieren. nmcli -t -f NAME,TYPE connection show --active gëtt näischt zréck fir en Tunnel, deen direkt vum wg-quick oder vun engem OpenVPN-Daemon ugefaang gouf.

Dësen Ënnerscheed ass wichteg, wann e Skript muss entscheeden, wéien vun den zwee Manageren et freet. Wielt deen, deen den Tunnel op dësem Host wierklech besëtzt, an ignoréiert dem aneren seng Stëllt. Wann béid existéieren, entscheed, wien autoritär ass, a schalt den zweeten aus, well zwee Manageren, déi op enger Interface Routen nei schreiwen, Feeler produzéieren, déi kee ka reproduzéieren. En feelenden Aschreiwung ass Informatioun iwwer de Manager, net iwwer den Tunnel.

Maacht den nächste Schrëtt vun der Prüfung ofhängeg, déi en brauch

En UDP-Port ze pollen beweist näischt iwwer d'Bereetschaft, well UDP keen Handshake huet an nc -u geléngt, soubal de Pakett fortgeet. Préift, wat den nächste Schrëtt wierklech verbraucht: eng TCP-Verbindung op den ëmgeleet Port, eng Ufro un en Host am Tunnel, en Numm, deen nëmmen do opgeléist gëtt. Begrenzt d'Waarde mat engem Timeout an enger Zuel Versich, a scheitert haart, wann et eriwwer ass.

Hooks schloe Polling, wann de Client se ubitt. --up an --down Skripte vum OpenVPN lafen, nodeems d'Interface hire Zoustand geännert huet, wat d'Course komplett ewech hëlt, awer se lafen mat de Privilegien, déi den Daemon behalen huet. Wann OpenVPN duerch user an group op en onprivilegéierte Kontu gefall ass, leeft den Hook als dee Kont. En Systemservice nei ze starten erfuerdert dann sudo, fir genee dee Kommando ze erlaben. Gitt de Widderhuelungsversuch dem Service-Manager amplaz enger Cron-Schlauf: eng begrenzt Restart-Politik mat engem Startlimit mécht en gebrochenen Tunnel sichtbar, während eng onbegrenzt Schlauf en onbestëmmt verstoppt.