Undersøk eit Linux-VPN-grensesnitt med ip link, lag for lag

Klientikonet seier tilkopla, grensesnittet finst, og programmet når framleis ingenting. Den kombinasjonen er vanleg, fordi eit virtuelt grensesnitt kan bli verande medan den eksterne parten, adressene eller rutene manglar. ip link er rett fyrste verkty, og også det enklaste å overtolke. Flagg og teljarar skildrar eitt lag, og laga over dei sviktar uavhengig. Det er også verktyet folk siterer når dei vil bevise at tunnelen er oppe, som er nettopp den påstanden det ikkje kan støtte åleine.

Les grensesnittet før du les ikonet

Byrja med ip -details link show dev tun0 slik det er dokumentert i ip-link-manualen, og byt ut grensesnittet klienten din faktisk eig i staden for det konvensjonelle namnet. Flagg, type, MTU og grensesnittidentitet er nyttige observasjonar. Tilstandsteksten til eit virtuelt grensesnitt treng ikkje oppføre seg som bærarindikasjonen til ein fysisk kabel, så handsam UP som ei utsegn om grensesnittet og ikkje om tunnelen.

Den skilnaden forklarer det mest forvirrande tilfellet: eit grensesnitt som blir verande medan den eksterne sida koplar til på nytt eller er utilgjengeleg.

Innstillingar for vedvarande tilkopling kan halde lenka oppe nettopp for at gjenoppkoplinga ikkje skal byggje henne på nytt, noko som tyder at tilstadevere ikkje er det same som helse.

Legg til teljarar og ein førespurnad som skal bruke dei

Bruk den støtta statistikkvisinga, ip -s link show dev tun0, og noter pakke- og bytteteljingane i begge retningar. Generer deretter ein ufarleg førespurnad som skal gå gjennom grensesnittet, og samanlikn den relevante retninga. Ein førespurnad som tok den direkte ruta til eit anna program vil ikkje flytte teljarane, og det er poenget.

Viss sendeteljaren flyttar seg og mottaksteljaren ikkje, forlet pakken og ingenting kom tilbake. Det er eit anna problem enn eit grensesnitt som aldri har frakta noko i det heile. Viss begge teljarane flyttar seg og programmet framleis feilar, ligg feilen over grensesnittet, noko som er framgang og ikkje ein blindveg.

Ta avlesinga to gonger, éin gong før og éin gong etter, i staden for å stole på eit enkelt augeblinksbilete.

Adresser og ruter er separate steg

Ei lenke kan finnast utan prefikset, resolverkonfigurasjonen eller ruta programmet treng. Sjekk adressa med ip address show dev tun0, og sjekk deretter kva rute målet ville velje med ip route get for det faktiske målet. Dei tre observasjonane svarar på tre ulike spørsmål, og berre det siste handlar om videresending.

For IPsec kan sikkerheitspolicy og assosiasjonstilstand også ha noko å seie, og ikkje alle IPsec-design viser seg som eit enkelt tun-grensesnitt. Å leite etter ei tun-eining som aldri kom til å finnast er ein snøgg måte å konkludere feil på.

Noter det nøyaktige namnet, namnerommet og tidspunktet saman med alle utdata du tek vare på, fordi det same utsjånaden namnet i ein annan container eller ei gjenoppretta økt representerer ein heilt annan kontekst.

Ikkje slett det du ikkje har identifisert

Eit ukjent grensesnitt er ikkje automatisk utdatert. Identifiser eigaren før du fjernar noko, og bruk den dokumenterte nedrivinga til klienten eller den administrerte konfigurasjonen når fjerning verkeleg er meint. Å slette ein aktiv tunnel for å sjå kva som skjer er ein test som svarar på eit spørsmål ingen stilte.

Viss grensesnittet høyrer til ein container-runtime eller eit namnerom du ikkje oppretta, er eigaren éin kommando unna og verdt å finne fyrst.

Den varsemda gjeld også ip link set down, som ser reversibelt ut og ofte ikkje er det.

Kva undersøkinga skal gje deg

Ei god undersøking endar med fire fakta: grensesnittnamnet og namnerommet, flagga og MTU-en, teljardeltaet frå ein ekte førespurnad, og ruta og adressa programmet faktisk treng. Med dei skrivne ned er neste steg openbert og høyrer til eit bestemt lag. Utan dei er kvar påfølgjande endring eit gjett med ein tilbakerullingsplan.

Samanlikn dei fire faktaa med dei same fire frå ei fungerande økt. Viss grensesnittnamnet og namnerommet stemmer men teljardeltaet er null, nådde førespurnaden aldri tunnelen. Viss teljardeltaet er friskt og ruta peikar ein annan stad, er tunnelen i orden og rutinga ikkje. Den samanlikninga er det som gjer ein haug med utdata om til ei avgjerd.

Tak vare på utdataa saman med saka, sidan ei seinare samanlikning berre er nyttig viss du kan sjå kva som endra seg.

Lukk så sløyfa ved å teste programmet igjen, fordi grensesnittet aldri var det brukaren brydde seg om.