Преглед на Linux VPN-интерфејс со ip link, слој по слој

Иконата на клиентот вели поврзано, интерфејсот постои, а апликацијата сѐ уште не може да стигне до ништо. Таа комбинација е честа, бидејќи виртуелниот интерфејс може да остане присутен додека неговиот далечен партнер, неговите адреси или неговите рути недостасуваат. ip link е вистинската прва алатка, и таа е исто така најлесната за претолкување. Знаменцата и бројачите опишуваат еден слој, а слоевите над нив откажуваат независно. Таа е и алатката што луѓето ја цитираат кога сакаат да докажат дека тунелот е подигнат, што е токму тврдењето што таа не може сама да го поддржи.

Прочитајте го интерфејсот пред да ја прочитате иконата

Започнете со ip -details link show dev tun0 како што е документирано во прирачникот за ip-link, заменувајќи го со интерфејсот што клиентот навистина го поседува наместо конвенционалното име. Знаменцата, типот, MTU и идентитетот на интерфејсот се корисни набљудувања. Формулацијата на состојбата на виртуелниот интерфејс не мора да се однесува како индикацијата за носење на физички кабел, затоа третирајте го UP како изјава за интерфејсот, а не за тунелот.

Таа разлика го објаснува најзбунувачкиот случај: интерфејс што опстојува додека далечната страна се поврзува повторно или е недостапна.

Поставките за опстојување можат да ја задржат врската токму за да не се гради повторно при повторното поврзување, што значи дека присуството не е здравје.

Додајте бројачи и барање што треба да ги користи

Користете го поддржаниот приказ на статистики, ip -s link show dev tun0, и забележете ги броевите на пакети и бајти во двете насоки. Потоа генерирајте безопасно барање што треба да помине низ интерфејсот и споредете ја релевантната насока. Барање што тргнало по директната рута на друга апликација нема да ги помести тие бројачи, и тоа е поентата на вежбата.

Ако бројачот за пренос се помести, а бројачот за прием не, пакетот заминал и ништо не се вратило. Тоа е различен проблем од интерфејс што никогаш не пренел ништо. Ако двата бројачи се поместат, а апликацијата сѐ уште не успева, грешката е над интерфејсот, што е напредок, а не ќор-сокак.

Земете го читањето двапати, еднаш пред и еднаш потоа, наместо да верувате на еден моментен снимок.

Адресите и рутите се одделни чекори

Врската може да постои без префиксот, конфигурацијата на резолверот или рутата што му е потребна на апликацијата. Проверете ја адресата со ip address show dev tun0, потоа проверете која рута би ја избрала дестинацијата со ip route get за вистинската цел. Тие три набљудувања одговараат на три различни прашања, и само последното е за проследување.

За IPsec, безбедносната политика и состојбата на здружувањето исто така може да бидат важни, и не секој IPsec дизајн се појавува како едноставен tun интерфејс. Барањето на tun уред што никогаш не требало да постои е брз начин да се заклучи погрешно.

Забележете го точното име, именскиот простор и времето со секој излез што го чувате, бидејќи истото име во друг контејнер или вратена сесија претставува сосема друг контекст.

Не бришете го она што не сте го идентификувале

Непознат интерфејс не е автоматски застарен. Идентификувајте го сопственикот пред да отстраните нешто, и користете го документираното распаѓање на клиентот или управуваната конфигурација кога отстранувањето е навистина намерно. Бришење на жив тунел за да се види што ќе се случи е тест што одговара на прашање што никој не го поставил.

Ако интерфејсот припаѓа на контејнерско извршно опкружување или на мрежен именски простор што не сте го создале, сопственикот е на една команда оддалеченост и вреди прво да се најде.

Тоа внимание важи и за ip link set down, што изгледа повратно и често не е.

Што треба да ви остави прегледот

Добар преглед завршува со четири факти: името и именскиот простор на интерфејсот, неговите знаменца и MTU, делтата на бројачите од вистинско барање, и рутата и адресата што на апликацијата навистина ѝ требаат. Кога тие се запишани, следниот чекор е очигледен и припаѓа на определен слој. Без нив, секоја следна промена е претпоставка со план за враќање.

Споредете ги тие четири факти со истите четири од сесија што работи. Ако името и именскиот простор на интерфејсот се совпаѓаат, но делтата на бројачите е нула, барањето никогаш не стигнало до тунелот. Ако делтата на бројачите е здрава, а рутата покажува на друго место, тунелот е во ред, а рутирањето не е. Тоа споредување е она што ја претвора купот излез во одлука.

Чувајте го излезот со тикетот, бидејќи подоцнежното споредување е корисно само ако можете да видите што се променило.

Потоа затворете го кругот со повторно тестирање на апликацијата, бидејќи интерфејсот никогаш не бил она што го интересирало корисникот.