Stebėti maršrutizatoriaus VPN nepasitikint viena būsenos lempute
Lygiateisio partnerio būsena, pasirinktas maršrutas ir leidžiama programos patikra atsako į skirtingus klausimus. Signalizuokite ties riba, kuri sugedo, o ne prie žalios piktogramos.
Būsenos puslapis rodo prisijungta, lemputė žalia, o biuras nepasiekia failų serverio. Vienas iš šių faktų yra apie tunelį, kitas – apie kelią per jį. Stebėti abu yra skirtumas tarp įspėjimo, pagal kurį galima veikti, ir tokio, kurį išmokstama ignoruoti.
Penki patikrinimai, iš eilės, nuo partnerio į išorę.
1 patikrinimas: partnerio arba asociacijos būsena
Kiekvienas protokolas atskleidžia savo būseną. WireGuard rodo naujausią rankos paspaudimą ir perdavimo skaitiklius kiekvienam partneriui per wg show. OpenVPN rašo sesijos būseną į savo būsenos failą arba valdymo sąsają, o IPsec atskleidžia saugos asociacijas tokiomis priemonėmis kaip ipsec statusall. Spąstai yra laiko žymą skaityti kaip nuosprendį: neaktyvus WireGuard partneris, neturintis ko siųsti, neseniai nepaspaudys rankos, ir tai nėra sutrikimas.
Palyginkite laiko žymą su numatomu srautu ir keepalive nustatymais prieš ką nors iškviesdami.
2 patikrinimas: pasirinktas maršrutas
Tunelio sąsaja gali egzistuoti, kai į ją niekas nemaršrutizuojama. Patikrinkite persiuntimo lentelę jums svarbiam tikslui, o ne paties tunelio potinkliui. Jei priešdėlio nėra arba jis rodo kitur, partnerio būsena nesvarbi.
Šis patikrinimas pagauna gedimą, kurio būsenos lemputė niekada nerodo.
Naudingas antras patikrinimas taip pat lygina šaltinio adresą. ip route get 10.20.5.10 grąžina kitą šuolį, sąsają ir pageidaujamą šaltinį, o neteisingas šaltinis yra pakankamas, kad nutrauktų grįžtamąjį srautą tolimajame gale. Užsirašykite numatomą trejetą vieną kartą, tada signalizuokite, kai pasikeis bet kuris elementas. Ši viena eilutė pagauna NAT pokyčius, sąsajos svyravimus ir politikos pagrindu veikiančio maršrutizavimo klaidas.
3 patikrinimas: leidžiamas programos kelias
Išbandykite ką nors, kas atstovauja faktiniam reikalavimui. Iš maršrutizatoriaus siunčiamas ping išeina iš jo paties adreso ir politikos, kurie gali skirtis nuo persiunčiamo LAN srauto, o daugelis mazgų riboja ICMP. Jei reikalavimas yra privati paslauga, išbandykite tą paslaugą jos tikrame porte.
Laikykite patikros apimtį kuklią. Stebėjimo ciklas neturėtų tapti srautu, kurį matuoja.
4 patikrinimas: kas pasikeitė ir kada
Susiekite WAN pokyčius, raktų atnaujinimus, maršrutų atšaukimus ir programų gedimus vienoje laiko juostoje. Atskirkite tunelio gedimą nuo atsarginio maršruto, kuris tyliai atkuria įprastą interneto prieigą, nes abu duoda identiškus naudotojų pranešimus ir priešingas diagnozes. Laiko juostos klaidos apvers tvarką, todėl normalizuokite prieš lygindami. Būtent laiko juosta paverčia keturis patikrinimus priežastimi.
Saugokite žurnalus perėjimams, o ne naudingajai apkrovai.
5 patikrinimas: signalas turi įvardyti ribą
Signalas, sakantis VPN neveikia, pusę laiko nukreipia žmogų ne ten. Signalas, sakantis partnerio rankos paspaudimas pasenęs dvylika minučių, maršrutas į 10.20.0.0/16 nėra arba patikra į 445 prievadą nepavyksta, nurodo konkretų patikrinimą.
Laikykite veiklos skaitiklius, o ne naršykite apkrovas. Skaitikliai atsako į stebėjimo klausimą nerenkant turinio, kurio jums nereikia.
Ir leiskite perjungimo politikai nuspręsti, kas bus toliau. Stebėjimas turi nustatyti, kuri riba sugedo, o ne leisti platų apėjimą kiekvieną kartą, kai patikra nepavyksta. OpenVPN 2.6 vadove aprašytas būsenos failas ir valdymo sąsaja, kurie leidžia pirmą patikrinimą atlikti scenarijumi.