Kako preveriti, ali je tunel VPN v Linuxu resnično aktiven

Cron vsakih deset minut znova zažene popolnoma zdrav VPN, ista naloga pa pusti mrtvega delovati ves teden. Obe napaki izhajata iz tega, da se «deluje» obravnava kot eno dejstvo, čeprav jih je vsaj štiri. Naprava je lahko administrativno omogočena, pravilno usmerjena, popolnoma šifrirana in vseeno ne prenaša nič uporabnega. Najprej ločite opažanja in preverjanje se bo skoraj samo napisalo.

Zastavice povezave opisujejo napravo, ne poti

Preverjanje, ki ga vsi kopirajo, išče naslov strojne opreme iz samih ničel. Ta trik v nekaterih gonilnikih loči pravi vmesnik od nadomestnika, v ostalih pa ničesar ne dokaže, ker naprava tun sploh nima MAC, ki bi ga sporočila. ip -brief link show tun0 namesto tega daje zastavice: UP pomeni, da je skrbnik omogočil napravo, in LOWER_UP pomeni, da gonilnik povezavo šteje za uporabno. Prebrani skupaj povedo, da naprava obstaja in ni administrativno izklopljena. Nobena od njiju ne pove, da ima paket kam iti.

OpenVPN ustvari svojo napravo tun, preden se namestijo poti, zato so zastavice lahko videti popolne, medtem ko ni nič usmerjeno. Obravnavajte jih kot predpogoj, nikoli kot odgovor.

Vprašajte, kam bi šel paket

Iskanje poti odgovori na vprašanje, ki ga zastavice ne zmorejo. ip route get 10.8.0.1 from 10.8.0.2 poimenuje vmesnik, izvorni naslov in tabelo, ki bi jo uporabilo jedro, in prav to je tisto, proti čemer je treba preveriti razdeljeni tunel. Brez izvornega naslova sprašujete nekaj drugega, pri usmerjanju po pravilnikih pa se odgovor lahko razlikuje glede na vir. To je najcenejši pošten preizkus, ker se posvetuje z istimi pravili, ki jih bo uporabil vaš promet.

Pri WireGuardu dodajte rokovanje. wg show izpiše časovni žig zadnjega rokovanja za vsakega partnerja, žig, ki se je prenehal premikati, pa pomeni, da partnerja ni več, karkoli pravijo zastavice vmesnika. Konfiguriran vmesnik brez nedavnega rokovanja je eden najpogostejših lažnih pozitivov v domačem nadzoru.

Tabela 220 pripoveduje zgodbo IPsec

strongSwan namesti poti za dogovorjene izbirnike v tabelo 220, ko je nameščanje poti omogočeno. ip route list table 220 zato loči dogovorjeno od usmerjenega: prazna tabela ob naloženi povezavi pomeni, da so se SA IKE in CHILD dvignile, medtem ko promet ne teče vanje. Preverite ip xfrm state ob njej, ker našteva nameščene varnostne asociacije in njihove končne točke.

Pravilnik pasti je primer, na katerega morate paziti. Čaka na zanimiv promet, namesto da bi ga usmeril, zato tabela ostane prazna, dokler nekaj ne sproži tunela.

Stanje upravitelja in stanje demona sta različna seznama

NetworkManager našteje samo povezave, ki jih ima v lasti. nmcli -t -f NAME,TYPE connection show --active ne vrne ničesar za tunel, ki ga je neposredno zagnal wg-quick ali demon OpenVPN.

Ta razlika je pomembna, ko se mora skript odločiti, katerega od dveh upraviteljev vprašati. Izberite tistega, ki tunel na tem gostitelju resnično ima, in ne upoštevajte molka drugega. Če obstajata oba, odločite, kateri je merodajen, in onemogočite drugega, ker dva upravitelja, ki na enem vmesniku prepisujeta poti, povzročata okvare, ki jih nihče ne more ponoviti. Manjkajoči vnos je informacija o upravitelju, ne o tunelu.

Naslednji korak pogoje na preizkus, ki ga potrebuje

Izpraševanje vrat UDP ne dokaže ničesar o pripravljenosti, ker UDP nima rokovanja in nc -u uspe takoj, ko paket odide. Preizkusite, kaj naslednji korak v resnici porabi: povezavo TCP na preusmerjena vrata, zahtevo do gostitelja znotraj tunela, ime, ki se razreši le tam. Omejite čakanje s časovno omejitvijo in številom poskusov ter glasno odpovejte, ko se izteče.

Kljuke premagajo izpraševanje, ko jih odjemalec ponuja. --up in --down skripti OpenVPN se izvedejo po spremembi stanja vmesnika, kar dirkalno stanje popolnoma odpravi, vendar tečejo s pravicami, ki jih je demon obdržal. Če je OpenVPN padel na neprivilegiran račun prek user in group, kljuka teče kot ta račun. Ponovni zagon sistemske storitve takrat zahteva sudo, ki dovoli točno ta ukaz. Ponovni poskus zaupajte upravitelju storitev, ne zanki cron: omejena politika ponovnega zagona s pragom zagonov razkrije pokvarjen tunel, medtem ko ga neomejena zanka skriva v nedogled.