Linux дээрх VPN туннель үнэхээр ажиллаж байгаа эсэхийг хэрхэн шалгах вэ

Cron арван минут тутамд бүрэн эрүүл VPN-ийг дахин эхлүүлдэг бөгөөд мөн тэр ажил үхсэн VPN-ийг бүтэн долоо хоног ажиллуулж үлдээдэг. Хоёр алдаа нь «ажиллаж байна» гэдгийг дор хаяж дөрөв байхад нь нэг баримт гэж үзсэнээс үүдэлтэй. Төхөөрөмж захиргааны хувьд идэвхжсэн, зөв маршрутлагдсан, бүрэн шифрлэгдсэн байсан ч ямар ч ашигтай зүйл зөөхгүй байж болно. Эхлээд ажиглалтуудыг салга, шалгалт бараг өөрөө бичигдэнэ.

Холбоосын тугнууд төхөөрөмжийг дүрсэлнэ, замыг биш

Бүгдийн хуулдаг шалгалт бүхэлдээ тэгээс бүрдсэн техник хангамжийн хаяг хайдаг. Тэр заль зарим драйверт жинхэнэ интерфейсийг орлуулагчаас салгадаг бөгөөд бусадд нь юу ч нотолдоггүй, учир нь tun төхөөрөмж мэдээлэх MAC огт байхгүй. ip -brief link show tun0 оронд нь тугнууд өгдөг: UP гэдэг нь администратор төхөөрөмжийг идэвхжүүлсэн гэсэн үг, харин LOWER_UP гэдэг нь драйвер холбоосыг ашиглах боломжтой гэж үзэж байна гэсэн үг. Хамт уншихад төхөөрөмж байгаа бөгөөд захиргааны хувьд хаагдаагүй гэдгийг хэлнэ. Аль нь ч пакет хаашаа явах газартай гэж хэлэхгүй.

OpenVPN маршрутуудыг суулгахаас өмнө өөрийн tun төхөөрөмжийг үүсгэдэг тул юу ч маршрутлагдаагүй байхад тугнууд төгс харагдаж болно. Тэдгээрийг урьдчилсан нөхцөл гэж үз, хэзээ ч хариулт гэж болохгүй.

Пакет хаашаа явахыг асуу

Маршрутын хайлт тугнууд хариулж чадахгүй асуултад хариулна. ip route get 10.8.0.1 from 10.8.0.2 интерфейс, эх хаяг, цөм ашиглах хүснэгтийг нэрлэдэг бөгөөд хуваагдсан туннелийг яг түүнтэй харьцуулж шалгах ёстой. Эх хаяггүй бол өөр зүйл асууж байна, бодлогот маршрутлалтад хариулт эхээс хамаарч өөр байж болно. Энэ бол хамгийн хямд шударга сорил, учир нь таны урсгал ашиглахтай ижил дүрмээс асуудаг.

WireGuard-ийн хувьд гар барилтыг нэмнэ үү. wg show хос бүрийн сүүлчийн гар барилтын цагийн тэмдгийг хэвлэдэг бөгөөд урагшилж байснаа зогссон тэмдэг нь хос явсан гэсэн үг, интерфейсийн тугнууд юу ч гэсэн. Сүүлийн үеийн гар барилтгүй тохируулсан интерфейс гэртээ хийсэн хяналтын хамгийн түгээмэл хуурамч эерэгүүдийн нэг юм.

220-р хүснэгт IPsec-ийн түүхийг өгүүлнэ

strongSwan маршрут суулгалт идэвхтэй үед хэлэлцээр хийсэн сонгогчдын маршрутыг 220-р хүснэгтэд суулгана. ip route list table 220 тиймээс хэлэлцээрийг маршрутлагдсанаас ялгана: ачаалагдсан холболтын хажууд хоосон хүснэгт байх нь IKE болон CHILD SA-ууд боссон боловч тэдэн рүү ямар ч урсгал чиглээгүй гэсэн үг. Шалгана уу ip xfrm state түүний хажууд, учир нь энэ нь суусан аюулгүй байдлын нэгдлүүд болон тэдгээрийн төгсгөлийн цэгүүдийг жагсаадаг.

Хавхны бодлого бол анхаарах ёстой тохиолдол юм. Энэ нь маршрутлахын оронд сонирхолтой урсгалыг хүлээдэг тул ямар нэг зүйл туннелийг идэвхжүүлэх хүртэл хүснэгт хоосон хэвээр байна.

Менежерийн төлөв ба демоны төлөв нь өөр жагсаалт

NetworkManager зөвхөн өөрийн эзэмшдэг холболтуудыг жагсаадаг. nmcli -t -f NAME,TYPE connection show --active шууд wg-quick эсвэл OpenVPN демоноор эхлүүлсэн туннельд юу ч буцаадаггүй.

Энэ ялгаа нь скрипт хоёр менежерийн алинаас асуухаа шийдэх үед чухал. Энэ хост дээр туннелийг үнэхээр эзэмшдэг нэгнийг сонгож, нөгөөгийн чимээгүйд үл тоомсорло. Хоёулаа байвал аль нь эрх бүхийг шийдэж, хоёр дахьыг идэвхгүй болго, учир нь нэг интерфейс дээр маршрутуудыг дахин бичдэг хоёр менежер хэн ч давтаж чадахгүй алдаа үүсгэдэг. Дутуу бичлэг нь менежерийн тухай мэдээлэл, туннелийн тухай биш.

Дараагийн алхмыг түүнд хэрэгтэй шалгалтад холбоно уу

UDP портыг шалгах нь бэлэн байдлын талаар юу ч нотолдоггүй, учир нь UDP-д гар барилт байхгүй бөгөөд nc -u пакет гармагц амжилттай болдог. Дараагийн алхам үнэхээр юу хэрэглэдэгийг шалга: дамжуулсан порт руу TCP холболт, туннель доторх хост руу хүсэлт, зөвхөн тэнд шийдэгддэг нэр. Хүлээлтийг хугацааны хязгаар, оролдлогын тоогоор хязгаарлаж, дуусахад чангаар бүтэлгүйт.

Клиент дэгээ санал болговол дэгээнүүд санал асуулгаас илүү. --up болон --down OpenVPN-ийн скриптүүд интерфейсийн төлөв өөрчлөгдсөний дараа ажилладаг бөгөөд энэ нь уралдааныг бүрмөсөн арилгадаг, гэхдээ тэд демоны хадгалсан эрхээр ажилладаг. Хэрэв OpenVPN user болон group замаар эрхгүй бүртгэл рүү буусан бол дэгээ тэр бүртгэлээр ажиллана. Системийн үйлчилгээг дахин эхлүүлэхэд яг тэр командыг зөвшөөрөх sudo шаардлагатай болно. Дахин оролдлогыг cron давталт биш үйлчилгээний менежерт даатга: эхлэлийн хязгаартай хязгаарлагдмал дахин эхлүүлэх бодлого эвдэрсэн туннелийг ил гаргадаг бол хязгааргүй давталт түүнийг эцэс төгсгөлгүй нуудаг.