Moniterja VPN tar-router mingħajr ma tafda f'bozza waħda tal-istat

Il-paġna tal-istat tgħid konness, il-bozza hija ħadra, u l-uffiċċju ma jistax jasal għas-server tal-fajls. Waħda minn dawn il-fatti hija dwar il-mina u l-oħra dwar it-triq minn ġo fiha. Li tissorvelja t-tnejn hija d-differenza bejn twissija li tista' taġixxi fuqha u waħda li titgħallem tinjora.

Ħames verifiki, fl-ordni, mill-pari 'l barra.

Verifika 1: stat tal-pari jew tal-assoċjazzjoni

Kull protokoll juri l-istat tiegħu stess. WireGuard juri l-aħħar handshake u l-kontaturi tat-trasferiment għal kull pari permezz ta' wg show. OpenVPN jikteb l-istat tas-sessjoni fil-fajl tal-istat tiegħu jew fl-interfaċċja tal-amministrazzjoni, u IPsec juri l-assoċjazzjonijiet tas-sigurtà permezz ta' għodod bħal ipsec statusall. In-nassa hija li taqra timbru tal-ħin bħala verdett: pari WireGuard inattiv mingħajr xejn x'jibgħat mhux se jagħmel handshake reċentement, u dan mhuwiex waqfien.

Qabbel it-timbru tal-ħin mat-traffiku mistenni u s-settings tal-keepalive qabel ma ċċempel lil xi ħadd.

Verifika 2: ir-rotta magħżula

Interfaċċja tal-mina tista' teżisti waqt li xejn ma jiġi routed fiha. Iċċekkja t-tabella tal-forwarding għad-destinazzjoni li tinteressak, mhux għas-subnet tal-mina stess. Jekk il-prefiss nieqes jew jindika xi mkien ieħor, l-istat tal-pari mhuwiex rilevanti.

Dik il-verifika taqbad il-ħsara li bozza tal-istat qatt ma turi.

It-tieni verifika utli tqabbel ukoll l-indirizz tas-sors. ip route get 10.20.5.10 jirritorna l-hop li jmiss, l-interfaċċja u s-sors preferut, u sors żbaljat huwa biżżejjed biex ikisser it-traffiku tar-ritorn fit-tarf imbiegħed. Innota t-tliet wieħed mistenni darba, imbagħad agħti allarm meta xi element jinbidel. Dik il-linja waħda taqbad il-bidliet fin-NAT, l-instabbiltà tal-interfaċċja u l-iżbalji fl-irouting ibbażat fuq il-politika.

Verifika 3: triq tal-applikazzjoni permessa

Ipprova xi ħaġa li tirrappreżenta r-rekwiżit reali. Ping li joriġina mir-router joħroġ mill-indirizz u l-politika tar-router stess, li jistgħu jkunu differenti mit-traffiku tal-LAN mibgħut 'il quddiem, u ħafna hosts jillimitaw l-ICMP. Jekk ir-rekwiżit huwa servizz privat, ipprova dak is-servizz fuq il-port reali tiegħu.

Żomm il-volum tal-prova modest. Ċiklu ta' monitoraġġ m'għandux isir it-traffiku li jkejjel.

Verifika 4: x'inqaleb u meta

Korrella bidliet tal-WAN, tiġdid tal-keys, rtirar ta' rotot u fallimenti tal-applikazzjonijiet fuq linja waħda taż-żmien. Iddistingwi falliment tal-mina minn rotta ta' riżerva li tirrestawra bil-kwiet l-aċċess normali għall-internet, għax it-tnejn jipproduċu rapporti tal-utenti identiċi u dijanjosi opposti. Żbalji taż-żona tal-ħin se jbiddlu l-ordni, għalhekk normalizza qabel tqabbel. Il-linja taż-żmien hija dik li tibdel erba' verifiki f'kawża.

Preserva l-logs għat-transizzjonijiet, mhux għall-payload.

Verifika 5: l-allarm għandu jsemmi l-konfini

Allarm li jgħid VPN niżel jibgħat lil xi ħadd fil-post ħażin nofs il-ħin. Wieħed li jgħid li l-handshake tal-pari huwa antik minn tnax-il minuta, ir-rotta lejn 10.20.0.0/16 nieqsa, jew il-prova lejn il-port 445 qed tfalli, jindika verifika speċifika.

Żomm kontaturi operattivi minflok ma tfittex fil-payloads. Il-kontaturi jwieġbu l-mistoqsija tal-monitoraġġ mingħajr ma jiġbru kontenut li m'għandekx bżonn.

U ħalli l-politika tal-failover tiddeċiedi x'jiġri wara. Il-monitoraġġ għandu jidentifika liema konfini fallew, mhux jawtorizza ċirkwit wiesa' kull darba li prova tfalli. Il-manwal tal-OpenVPN 2.6 jiddokumenta l-fajl tal-istat u l-interfaċċja tal-amministrazzjoni li jagħmlu l-ewwel verifika skriptabbli.