Erhuelung vum VPN-Server no engem Neistart testen: wat fir d'éischt ze kontrolléieren

Neistart de Server, wéi kee sech ageloggt huet, a verbannen duerno aus engem Netzwierk, deen Dir net kontrolléiert. Dee eenzegen Test äntwert, ob d'Erhuelung richteg ass, well en Tunnel, deen eréischt funktionéiert, nodeem een eng Kommando vun Hand ausféiert, ass keng Erhuelung, et ass eng Reparatur. Déi meescht Kontrollen halen ze fréi op: den Daemon weist sech aktiv, d'Interface kënnt erop, an d'Säit lued awer net. D'Lück ass bal ëmmer an der Dauerhaftigkeit vun de Stécker ronderëm den Tunnel, net an der Tunnelkommando selwer.

Véier Besëtzer, véier verschidden Tester

Nenne virum Neistart, wat den Tunnel soll zréckbréngen. Den Test, deen Dir ausféiert, an d'Korrektur, déi Dir usetzt, hänke béid vun där Äntwert of, an et ginn véier üblech Besëtzer: eng systemd-Unit fir den VPN-Daemon, eng wg-quick-Instanz-Unit fir eng WireGuard-Interface, eng Container-Runtime oder e Netzwierkmanager-Profil. Wann Dir de Besëtzer net nenne kënnt, stoppt a fannt en, well en Neistart-Test ouni erwaarde Startwee seet Iech just, datt eppes geschitt ass.

Jiddwereen hält seng Konfiguratioun soss engem. En OpenVPN-Server, dee vu systemd geréiert gëtt, liest seng Konfiguratioun beim Start, also wat beim Boot an der Datei steet, dat laf. Eng wg-quick-Interface hëlt hir Adressen, Routen an DNS aus derselwechter Datei, dat heescht, eng Interface, déi vun Hand aus enger Shell eropbruecht an ni als Unit aktivéiert gouf, kënnt net zréck. E Container bréngt säin Entrypoint zréck, awer net d'Firewall-Ännerungen um Host, ausser déi liewen ausserhalb vum Container.

Éischt Basislinn, soss bedeit d'Resultat näischt

Halt de funktionéierende Zoustand fest, wéi en nach funktionéiert: Adressen um Tunnel, Routen fir de Client-Subnet, NAT- oder Forwarding-Reegelen, de lauschende Socket an de Forwarding-sysctl. ip addr show wg0, ip route, nft list ruleset oder iptables-save, ss -lunp an sysctl net.ipv4.ip_forward sinn op de meeschte Hosts genuch.

Halt fest, wéi de Service konfiguréiert ass fir ze starten, net just datt en leeft. systemctl is-enabled wg-quick@wg0 an systemctl is-active wg-quick@wg0 äntweren op verschidde Froen, an deen aktivéierte Zoustand ass deen, deen beim Boot zielt, wéi an systemctl(1) beschriwwen. Fir OpenVPN, kontrolléiert wéi eng Schabloun den Host benotzt, well openvpn@server an openvpn-server@server verschidden Uniten mat verschiddenen Defaults sinn.

Féiert den Neistart aus a liest deen éischte Fehler

Neistart bewosst, an engem Fënster, deen Dir gewielt hutt, mat enger opgemaachter Konsole oder engem Out-of-Band-Wee. Kuckt d'Reihenfolg vun de Evenementer an net den Endzoustand: Host erreechbar, Unit aktivéiert, Interface präsent, Routen installéiert, Firewall-Reegelen präsent, Lauschterer gebonnen, Client akzeptéiert. Dee séischten Schrëtt, deen net geschitt, ass d'Befund; alles duerno ass Kaméidi.

En Daemon kann aktiv sinn, wärend den Tunnel onbrauchbar ass, an dat ass dee heefegste falschen Duerchgang. De Start ka fäerdeg sinn, ier d'Netzwierk online ass, wann d'Unit just op network.target amplaz network-online.target waart. Referenzéiert Fichieren wéi Zertifikater, Schlësselen oder eng CRL kënnen deemools onliesbar sinn, well e Mount oder e geheime Wee nach net prett ass. Keng vun deenen zwou Problemen erschéngt an systemctl status, bis Dir de Journal vun der Unit liest.

Test vu baussen dem Host. E Client am selwechten LAN kann iwwer eng Route geléngen, déi keen eenzegen Remote-Client jeemools géif benotzen, an eng SSH-Sessioun op d'Maschinn beweist näischt iwwer den Tunnel. Verbannen, léist en internen Numm op, erreecht déi privat Ressource, a verbannen da nach eng Kéier, fir ze bestätegen, datt de Widderruff-Zoustand a d'Schlësselen nach gëllen.

Déi dräi Konditiounen, déi Är Korrektur entscheeden

Wann den Tunnel zréckkënnt, awer d'Cliente erreeche näischt, ass de Fehler am Routing oder an der NAT-Dauerhaftigkeit. Wann d'Cliente souguer keen Handshake kënne fäerdeg maache, ass de Fehler an der Interface oder am Authentifikatiounsmaterial. Wann de Service ni startet, ass de Fehler an der Unit-Datei oder hiren Dependenzen. Déi dräi Branchen féiere zu verschiddene Korrekturen, dofir kascht en blannen Neistart ouni Basislinn méi Zäit wéi en spuert.

Maacht d'Korrektur do, wou d'Astellung gehéiert. Setzt d'Forwarding an en sysctl-Drop-in, setzt d'NAT-Reegelen an de Reegelset, deen beim Boot lued, aktivéiert d'Unit amplaz se ze starten, a haalt Geheimnisser op engem Wee, dee existéiert, ier d'Unit start. Eng Schloofzäit an d'Unit derbäisetzen verstoppt eng Dependenz amplaz se ze deklaréieren.

Halt d'Resultat am Runbook fest

Schreift op, wat vu sech selwer zréckkoum, wat Dir misst starten, a wéi laang d'Lück gedauert huet. Huet déi genee Kommandos dobäi, déi Dir zum Iwwerpréiwe benotzt hutt, sou datt déi nächst Persoun den Test widderhëlt amplaz en neien ze erféieren. Wann e Schrëtt eng manuell Kommando gebraucht huet, gehéiert déi Kommando an d'Konfiguratioun, net als permanente Schrëtt an d'Runbook.

Plangt duerno den nächsten Test no der nächster Ännerung um Netzwierkstack vum Host, net fir en Kalennerdatum a sechs Méint. De Fehlermodus, géint deen Dir Iech schützt, ass eng temporär Kommando, déi permanent gewierkt huet, an déi erschéngen genee dann, wann een d'Firewall-Reegelen ännert oder e Service an eng nei Unit verréckelt.