Pantau VPN penghala tanpa mempercayai satu lampu status
Keadaan rakan sebaya, laluan yang dipilih dan ujian aplikasi yang dibenarkan menjawab soalan berbeza. Beri amaran pada sempadan yang gagal, bukan pada ikon hijau.
Halaman status menyatakan disambungkan, lampunya hijau, tetapi pejabat tidak dapat mencapai pelayan fail. Salah satu fakta itu tentang terowong dan yang lain tentang laluan melaluinya. Memantau kedua-duanya ialah perbezaan antara amaran yang boleh anda tindak balas dan yang anda belajar abaikan.
Lima pemeriksaan, mengikut urutan, dari rakan sebaya ke luar.
Pemeriksaan 1: keadaan rakan sebaya atau persatuan
Setiap protokol mendedahkan keadaannya sendiri. WireGuard menunjukkan jabat tangan terkini dan pembilang pemindahan bagi setiap rakan sebaya melalui wg show. OpenVPN menulis keadaan sesi ke fail status atau antara muka pengurusannya, dan IPsec mendedahkan persatuan keselamatan melalui alat seperti ipsec statusall. Perangkapnya ialah membaca cap masa sebagai keputusan: rakan sebaya WireGuard yang melahu tanpa apa-apa untuk dihantar tidak akan berjabat tangan baru-baru ini, dan itu bukan gangguan.
Bandingkan cap masa dengan trafik yang dijangka dan tetapan keepalive sebelum memanggil sesiapa.
Pemeriksaan 2: laluan yang dipilih
Antara muka terowong boleh wujud sementara tiada apa-apa dilalukan ke dalamnya. Periksa jadual penghantaran untuk destinasi yang anda pentingkan, bukan untuk subrangkaian terowong itu sendiri. Jika awalan tiada atau menunjuk ke tempat lain, keadaan rakan sebaya tidak relevan.
Pemeriksaan itu menangkap kegagalan yang tidak pernah ditunjukkan oleh lampu status.
Pemeriksaan kedua yang berguna juga membandingkan alamat sumber. ip route get 10.20.5.10 mengembalikan hop seterusnya, antara muka dan sumber pilihan, dan sumber yang salah sudah cukup untuk memutuskan trafik balik di hujung jauh. Catat rangkap tiga yang dijangka sekali, kemudian beri amaran apabila mana-mana elemen berubah. Satu baris itu menangkap perubahan NAT, ketidakstabilan antara muka dan kesilapan penghalaan dasar.
Pemeriksaan 3: laluan aplikasi yang dibenarkan
Uji sesuatu yang mewakili keperluan sebenar. Ping yang berasal dari penghala keluar dari alamat dan dasar penghala itu sendiri, yang mungkin berbeza daripada trafik LAN yang dihantar, dan banyak hos mengehadkan ICMP. Jika keperluannya perkhidmatan peribadi, uji perkhidmatan itu pada port sebenarnya.
Kekalkan jumlah ujian secara sederhana. Gelung pemantauan tidak sepatutnya menjadi trafik yang diukurnya.
Pemeriksaan 4: apa yang berubah dan bila
Kaitkan perubahan WAN, pembaharuan kunci, penarikan laluan dan kegagalan aplikasi pada satu garis masa. Bezakan kegagalan terowong daripada laluan sandaran yang memulihkan akses internet biasa secara senyap, kerana kedua-duanya menghasilkan laporan pengguna yang sama dan diagnosis yang bertentangan. Ralat zon waktu akan membalikkan susunan, jadi normalkan sebelum membandingkan. Garis masa itulah yang menjadikan empat pemeriksaan sebagai punca.
Simpan log untuk peralihan, bukan untuk muatan.
Pemeriksaan 5: amaran harus menamakan sempadan
Amaran yang menyatakan VPN mati menghantar seseorang ke tempat yang salah separuh masa. Amaran yang menyatakan jabat tangan rakan sebaya basi selama dua belas minit, laluan ke 10.20.0.0/16 tiada, atau ujian ke port 445 gagal menunjuk kepada pemeriksaan tertentu.
Simpan pembilang operasi dan bukannya melayari muatan. Pembilang menjawab soalan pemantauan tanpa mengumpul kandungan yang anda tidak perlukan.
Dan biarkan dasar failover menentukan apa yang berlaku seterusnya. Pemantauan harus mengenal pasti sempadan mana yang gagal, bukan membenarkan pintasan luas setiap kali ujian gagal. Manual OpenVPN 2.6 mendokumenkan fail status dan antara muka pengurusan yang menjadikan pemeriksaan pertama boleh diskrip.