Monitorujte VPN na routeri bez dôvery v jednu stavovú kontrolku

Stavová stránka hlási pripojené, kontrolka je zelená a kancelária sa nedostane na súborový server. Jeden z týchto faktov sa týka tunela a druhý cesty cez neho. Sledovať oboje je rozdiel medzi alarmom, na ktorý môžete reagovať, a takým, ktorý sa naučíte ignorovať.

Päť kontrol, v poradí, od partnera von.

Kontrola 1: stav partnera alebo asociácie

Každý protokol zverejňuje vlastný stav. WireGuard zobrazuje posledný handshake a prenosové počítadlá pre každého partnera cez wg show. OpenVPN zapisuje stav relácie do svojho stavového súboru alebo do rozhrania správy a IPsec zverejňuje bezpečnostné asociácie nástrojmi, ako je ipsec statusall. Pasca je čítať časovú pečiatku ako rozsudok: nečinný partner WireGuard, ktorý nemá čo poslať, nebude mať nedávny handshake, a to nie je výpadok.

Porovnajte časovú pečiatku s očakávanou prevádzkou a nastaveniami keepalive, skôr než niekoho zavoláte.

Kontrola 2: zvolená trasa

Rozhranie tunela môže existovať, aj keď doň nič nesmeruje. Skontrolujte smerovaciu tabuľku pre cieľ, na ktorom vám záleží, nie pre vlastnú podsieti tunela. Ak prefix chýba alebo ukazuje inam, stav partnera je irelevantný.

Táto kontrola zachytí poruchu, ktorú stavová kontrolka nikdy neukáže.

Užitočná druhá kontrola porovnáva aj zdrojovú adresu. ip route get 10.20.5.10 vracia ďalší skok, rozhranie a preferovaný zdroj, a nesprávny zdroj stačí na prerušenie spätnej prevádzky na vzdialenom konci. Raz si zapíšte očakávanú trojicu a potom alarmujte, keď sa zmení ktorýkoľvek prvok. Ten jediný riadok zachytí zmeny NAT, výpadky rozhrania a chyby smerovania podľa pravidiel.

Kontrola 3: povolená cesta aplikácie

Otestujte niečo reprezentatívne pre skutočnú požiadavku. Ping z routera vychádza z vlastnej adresy a pravidiel routera, ktoré sa môžu líšiť od preposielanej LAN prevádzky, a mnohí hostitelia obmedzujú ICMP. Ak je požiadavkou súkromná služba, testujte túto službu na jej skutočnom porte.

Udržujte objem skúšky skromný. Monitorovacia slučka by sa nemala stať prevádzkou, ktorú meria.

Kontrola 4: čo sa zmenilo a kedy

Spojte zmeny WAN, obnovy kľúčov, odvolania trás a zlyhania aplikácií na jednej časovej osi. Odlíšte zlyhanie tunela od záložnej trasy, ktorá potichu obnovuje bežný prístup na internet, pretože obe dávajú rovnaké hlásenia používateľov a opačné diagnózy. Chyby časového pásma poradie obrátia, preto pred porovnaním normalizujte. Práve časová os mení štyri kontroly na príčinu.

Uchovávajte záznamy pre prechody, nie pre obsah.

Kontrola 5: alarm má pomenovať hranicu

Alarm, ktorý povie VPN je dole, pošle človeka v polovici prípadov na nesprávne miesto. Ten, ktorý povie handshake partnera je starý dvanásť minút, trasa do 10.20.0.0/16 chýba alebo skúška na port 445 zlyháva, ukazuje na konkrétnu kontrolu.

Uchovávajte prevádzkové počítadlá namiesto prehliadania obsahov. Počítadlá odpovedajú na monitorovaciu otázku bez zbierania obsahu, ktorý nepotrebujete.

A nechajte politiku prepnutia rozhodnúť, čo bude ďalej. Monitorovanie má určiť, ktorá hranica zlyhala, nie povoliť široké obídenie zakaždým, keď skúška zlyhá. Príručka OpenVPN 2.6 dokumentuje stavový súbor a rozhranie správy, ktoré robia prvú kontrolu skriptovateľnou.