Ittestja l-irkupru tas-server VPN wara riavvjar: x'għandek tiċċekkja l-ewwel

Erġa' ibda s-server mingħajr ħadd illoggjat, imbagħad qabbad minn netwerk li ma tikkontrollax. Dan it-test wieħed iwieġeb jekk l-irkupru huwiex reali, għax tunnel li jaħdem biss wara li xi ħadd iħaddem kmand bil-idejn mhuwiex irkupru, hu tiswija. Ħafna mill-verifiki jieqfu kmieni wisq: id-daemon jidher attiv, l-interface titla', u l-paġna xorta ma tgħabbix. Il-vojt kważi dejjem fil-persistenza tal-biċċiet madwar it-tunnel, mhux fil-kmand tat-tunnel innifsu.

Erba' sidien, erba' testijiet differenti

Qabel ir-riavvjar, semmi x'għandu jġib it-tunnel lura. It-test li twettaq u t-tiswija li tapplika jiddependu t-tnejn minn dik it-tweġiba, u hemm erba' sidien komuni: unit systemd għad-daemon VPN, unit ta' istanza wg-quick għal interface WireGuard, runtime tal-kontenituri, jew profil tal-maniġer tan-netwerk. Jekk ma tistax issemmi s-sid, ieqaf u sibha, għax test ta' riavvjar mingħajr mogħdija ta' tluq mistennija jgħidlek biss li ġara xi ħaġa.

Kull sid iżomm il-konfigurazzjoni tiegħu f'post ieħor. Server OpenVPN immexxi minn systemd jaqra l-konfigurazzjoni tiegħu mal-bidu, għalhekk dak li jkun fil-fajl fil-ħin tal-boot huwa dak li jaħdem. Interface wg-quick ġġib l-indirizzi, ir-rotot u d-DNS mill-istess fajl, li jfisser li interface mgħollija bl-idejn minn shell u qatt ma attivata bħala unit mhux se terġa' lura. Kontenitur iġib l-entrypoint tiegħu lura iżda mhux il-bidliet tal-firewall tal-host, sakemm dawk ma jgħixux barra mill-kontenitur.

L-ewwel linja bażi, inkella r-riżultat ma jfisser xejn

Irreġistra l-istat li jaħdem waqt li jaħdem: indirizzi fuq it-tunnel, rotot għas-subnet tal-klijent, regoli NAT jew ta' trażmissjoni, is-socket li jisma', u s-sysctl tat-trażmissjoni. ip addr show wg0, ip route, nft list ruleset jew iptables-save, ss -lunp u sysctl net.ipv4.ip_forward biżżejjed fuq ħafna hosts.

Irreġistra kif is-servizz huwa konfigurat biex jibda, mhux biss li qed jaħdem. systemctl is-enabled wg-quick@wg0 u systemctl is-active wg-quick@wg0 iwieġbu mistoqsijiet differenti, u l-istat attivat huwa dak li jgħodd fil-boot, kif deskritt f'systemctl(1). Għal OpenVPN, iċċekkja liema mudell juża l-host, għax openvpn@server u openvpn-server@server huma unitijiet differenti b'valuri prestabbiliti differenti.

Wettaq ir-riavvjar u aqra l-ewwel falliment

Erġa' ibda apposta, f'finestra li għażilt, b'konsola jew mogħdija barra mill-band miftuħa. Osserva l-ordni tal-avvenimenti mhux l-istat finali: host aċċessibbli, unit attivat, interface preżenti, rotot installati, regoli tal-firewall preżenti, semmiegħ marbut, klijent aċċettat. L-ewwel pass li ma jiġrix huwa s-sejba; kull ħaġa warajh hija storbju.

Daemon jista' jkun attiv waqt li t-tunnel ma jistax jintuża, u dak huwa l-aktar pass falz komuni. Il-bidu jista' jitlesta qabel in-netwerk ikun online jekk l-unit tistenna biss network.target minflok network-online.target. Fajls referenzjati bċertifikati, ċwievet jew CRL jistgħu ma jinqrawx f'dak il-mument għax mount jew mogħdija tas-sigrieti għadha mhix lesta. L-ebda waħda miż-żewġ problemi ma tidher f'systemctl status sakemm taqra l-ġurnal tal-unit.

Ittestja minn barra l-host. Klijent fl-istess LAN jista' jirnexxi permezz ta' rotta li l-ebda klijent remot qatt ma juża, u sessjoni SSH lejn il-magna ma tipprova xejn dwar it-tunnel. Qabbad, issolvi isem intern, ilħaq ir-riżors privat, imbagħad erġa' qabbad darba biex tikkonferma li l-istat tar-revoka u ċ-ċwievet għadhom japplikaw.

It-tliet kundizzjonijiet li jiddeċiedu t-tiswija tiegħek

Jekk it-tunnel jerġa' lura iżda l-klijenti ma jaslu xejn, il-falliment huwa fl-instradar jew fil-persistenza tan-NAT. Jekk il-klijenti lanqas ma jistgħu jlestu handshake, il-falliment huwa fl-interface jew fil-materjal tal-awtentikazzjoni. Jekk is-servizz qatt ma jibda, il-falliment huwa fil-fajl tal-unit jew fid-dipendenzi tiegħu. Dawn it-tliet fergħat iwasslu għal tiswijiet differenti, u għalhekk riavvjar għami mingħajr linja bażi jiswa iktar ħin milli jiffranka.

Agħmel it-tiswija fejn is-setting huwa proprjetà. Qiegħed it-trażmissjoni f'sysctl drop-in, qiegħed ir-regoli NAT fis-sett ta' regoli li jitgħabba fil-boot, attiva l-unit minflok ma tibdiha, u żomm is-sigrieti fuq mogħdija li teżisti qabel ma tibda l-unit. Iżżid sleep mal-unit jaħbi dipendenza minflok ma jiddikjaraha.

Irreġistra r-riżultat fir-runbook

Ikteb x'ġie lura waħdu, x'kellek tibda, u kemm dam il-vojt. Inkludi l-kmandi eżatti li użajt biex tivverifika, sabiex il-persuna li jmiss tirrepeti t-test minflok ma tivvinta wieħed. Jekk xi pass kien jeħtieġ kmand manwali, dak il-kmand jappartjeni għall-konfigurazzjoni, mhux għar-runbook bħala pass permanenti.

Imbagħad skeda t-test li jmiss wara l-bidla li jmiss fil-munzell tan-netwerk tal-host, mhux għal data tal-kalendarju sitt xhur 'il quddiem. Il-modalità ta' falliment li qed tipproteġi kontriha hija kmand temporanju li deher permanenti, u dawk jidhru eżattament meta xi ħadd jeditja r-regoli tal-firewall jew iċaqlaq servizz għal unit ġdida.