Периодические обрывы VPN: что фиксировать каждый раз

Периодические обрывы — это проблема сбора данных прежде, чем проблема конфигурации. Записывайте одни и те же поля при каждом случае, иначе случаи нельзя сравнить. Смена трёх настроек после каждого события уничтожает единственное доказательство, которое у вас было.

Процедура ниже занимает около двух минут на случай и даёт одну строку на событие. Она предполагает доступ только на чтение на устройстве, которым вы управляете.

Определите поля до первого сбоя

Составьте список полей до того, как что-то сломается, потому что шаблон, придуманный посреди инцидента, всегда упускает столбец. Для начала достаточно пяти полей: местное время со смещением, триггер, сломавшийся этап, точный текст ошибки и то, удалась ли новая попытка.

Триггер заслуживает своего словаря: простой, возврат из сна, смена сети, всплеск нагрузки, обновление учётных данных или неизвестно. Оставляйте «неизвестно» помеченным как неизвестно, а не заполняйте позже по памяти. Наибольшую ценность несёт поле этапа, потому что оно фиксирует, где остановилась цепочка, а не что почувствовал пользователь. Текст ошибки следует копировать дословно, потому что пересказ теряет различие между двумя похожими кодами.

Оставляйте пробелы пробелами. Шаблон, который требует ответа, приглашает выдумывать, а выдуманный контекст хуже пустого места.

Зафиксируйте те же пять фактов в момент сбоя

Каждый раз выполняйте одни и те же команды в одном и том же порядке. Две минуты вывода лучше фотографии значка в трее, а порядок важен, когда позже временные метки не совпадают.

date -Is
journalctl -u wg-quick@wg0 --since "-2 min" --no-pager
wg show wg0 latest-handshakes transfer
ip route get 203.0.113.10
ping -c 3 -W 2 192.0.2.1

Первая строка помечает наблюдение смещением, и это единственный способ согласовать три источника, записанные в разных зонах. Выдержка из журнала охватывает жизненный цикл службы, а строка рукопожатия говорит, ответил ли партнёр вообще. Поиск маршрута называет интерфейс, который использовал бы конкретный адресат, и это не тот же факт, что существование интерфейса. Пинг на адрес туннеля показывает, проходит ли что-то через соединение, а не доступна ли другая сторона.

Записывайте одну строку на случай в текущий журнал, только с этими полями и ничем другим. После пяти-шести записей отсортируйте по триггеру, а затем по этапу. Закономерности проявляются как повторяющиеся пары, а пара, которая не повторяется никогда, скорее всего случайна.

Найдите сломавшийся этап

Локальная связность, состояние партнёра, маршруты и разрешение имён отказывают в разных местах, и каждое оставляет свой след. Если интерфейс существует, но ни один маршрут на него не указывает, отказ — это локальная политика. Если метка времени рукопожатия перестаёт двигаться, пока интерфейс остаётся поднятым, отказ находится выше по цепочке.

Разрешение имён относится к той же записи. Резолвер, который в понедельник шёл через туннель, а во вторник через локальную сеть, порождает отказы, которые на уровне приложения выглядят случайными.

Для разрешённого доступа к серверу сопоставляйте ту же попытку, а не близкое переподключение. Сохраняйте исходные временные метки и записывайте любое смещение отдельно, потому что преобразование их на месте стирает доказательство преобразования. Одна попытка, один набор временных меток, один вывод.

Сравнивайте по одному условию

Контролируемое сравнение меняет одно значимое условие и держит неудачный запуск рядом с удачным. Перенесите устройство в другую сеть или отключите одно исключение, и на том же шаге не меняйте больше ничего.

Храните неудачный запуск в записи. Удаление его в пользу работающего выбрасывает единственное доказательство той границы, которую вы ищете.

Делитесь выдержкой, а не профилем

Прежде чем что-то отправлять, удалите пароли, токены, закрытые ключи, посторонние идентичности и полезную нагрузку. Полный профиль — это конфигурационная тайна, а не сводка соединения, и ему не место в заявке.

Отправьте выдержку с пятью полями и скажите, какой этап, по вашему мнению, отказал. Это позволит администратору изучить названную вами границу вместо того, чтобы листать снимки экрана с отключённым значком. Если граница всё ещё неясна, следующий шаг — ещё одна контролируемая запись, а не очередная смена настроек.