Kā pārbaudīt, vai Linux VPN tunelis tiešām darbojas

Cron ik pēc desmit minūtēm restartē pilnīgi veselu VPN, un tas pats darbs atstāj mirušu VPN darboties veselu nedēļu. Abas kļūdas rodas no tā, ka «darbojas» tiek uzskatīts par vienu faktu, lai gan tas ir vismaz četri. Ierīce var būt administratīvi iespējota, pareizi maršrutēta, pilnībā šifrēta un tomēr nepārvadāt neko lietderīgu. Vispirms atdaliet novērojumus, un pārbaude gandrīz pati sevi uzrakstīs.

Saites karodziņi raksturo ierīci, nevis ceļu

Pārbaude, ko visi kopē, meklē aparatūras adresi, kas sastāv tikai no nullēm. Šis triks dažos draiveros atdala īstu interfeisu no viettura, bet pārējos neko nepierāda, jo tun ierīcei vispār nav MAC, ko ziņot. ip -brief link show tun0 tā vietā sniedz karodziņus: UP nozīmē, ka administrators ir iespējojis ierīci, un LOWER_UP nozīmē, ka draivers uzskata saiti par lietojamu. Lasot kopā, tie saka, ka ierīce pastāv un nav administratīvi izslēgta. Neviens no tiem nesaka, ka paketei ir kur iet.

OpenVPN izveido savu tun ierīci pirms maršrutu instalēšanas, tāpēc karodziņi var izskatīties perfekti, kamēr nekas nav maršrutēts. Uzlūkojiet tos kā priekšnosacījumu, nekad kā atbildi.

Jautājiet, kur pakete aizietu

Maršruta meklējums atbild uz jautājumu, uz ko karodziņi nespēj atbildēt. ip route get 10.8.0.1 from 10.8.0.2 nosauc interfeisu, avota adresi un tabulu, ko izmantotu kodols, un tas ir tieši tas, pret ko jāpārbauda sadalīts tunelis. Bez avota adreses jūs jautājat ko citu, un politikas maršrutēšanā atbilde var atšķirties atkarībā no avota. Šis ir lētākais godīgais tests, jo tas konsultējas ar tiem pašiem noteikumiem, ko izmantos jūsu trafiks.

WireGuard gadījumā pievienojiet rokasspiedienu. wg show izdrukā pēdējā rokasspiediena laikatzīmi katram partnerim, un laikatzīme, kas pārstājusi virzīties uz priekšu, nozīmē, ka partneris ir aizgājis, lai ko teiktu interfeisa karodziņi. Konfigurēts interfeiss bez nesen rokasspiediena ir viens no biežākajiem viltus pozitīvajiem paštaisītā uzraudzībā.

220. tabula stāsta IPsec stāstu

strongSwan instalē sarunāto selektoru maršrutus 220. tabulā, kad maršrutu instalēšana ir iespējota. ip route list table 220 tāpēc atdala sarunāto no maršrutētā: tukša tabula blakus ielādētam savienojumam nozīmē, ka IKE un CHILD SA tika paceltas, kamēr neviens trafiks uz tām netiek virzīts. Pārbaudiet ip xfrm state blakus, jo tā uzskaita instalētās drošības asociācijas un to galapunktus.

Slazda politika ir gadījums, uz ko jāpievērš uzmanība. Tā gaida interesantu trafiku, nevis to maršrutē, tāpēc tabula paliek tukša, līdz kaut kas aktivizē tuneli.

Pārvaldnieka stāvoklis un dēmona stāvoklis ir dažādi saraksti

NetworkManager uzskaita tikai tos savienojumus, kas tam pieder. nmcli -t -f NAME,TYPE connection show --active neko neatgriež tunelim, ko tieši palaidis wg-quick vai OpenVPN dēmons.

Šī atšķirība ir svarīga, kad skriptam jāizlemj, kuru no diviem pārvaldniekiem jautāt. Izvēlieties to, kas tiešām pārvalda tuneli šajā hostā, un ignorējiet otra klusumu. Ja ir abi, izlemiet, kurš ir autoritatīvs, un izslēdziet otro, jo divi pārvaldnieki, kas pārraksta maršrutus vienā interfeisā, rada kļūmes, ko neviens nevar reproducēt. Trūkstošs ieraksts ir informācija par pārvaldnieku, nevis par tuneli.

Saistiet nākamo soli ar pārbaudi, kas tam nepieciešama

UDP porta aptauja neko nepierāda par gatavību, jo UDP nav rokasspiediena un nc -u izdodas, tiklīdz pakete iziet. Pārbaudiet, ko nākamais solis tiešām patērē: TCP savienojumu uz pāradresēto portu, pieprasījumu uz hostu tuneļa iekšienē, vārdu, kas tiek atrisināts tikai tur. Ierobežojiet gaidīšanu ar taimautu un mēģinājumu skaitu, un skaļi neizdodieties, kad tas beidzas.

Āķi pārspēj aptauju, kad klients tos piedāvā. --up un --down OpenVPN skripti darbojas pēc tam, kad interfeiss mainījis stāvokli, kas pilnībā novērš sacensību, taču tie darbojas ar privilēģijām, ko dēmons paturējis. Ja OpenVPN ir nokļuvis neprivileģētā kontā caur user un group, āķis darbojas kā šis konts. Sistēmas pakalpojuma restartēšana tad prasa sudo, lai atļautu tieši šo komandu. Uzticiet atkārtošanu pakalpojumu pārvaldniekam, nevis cron cilpam: ierobežota restartēšanas politika ar starta limitu atklāj salauztu tuneli, kamēr neierobežota cilpa to slēpj bezgalīgi.