Spremljajte VPN na usmerjevalniku brez zaupanja eni lučki stanja
Stanje partnerja, izbrana pot in dovoljen preizkus aplikacije odgovarjajo na različna vprašanja. Alarmirajte na meji, ki je odpovedala, ne na zeleni ikoni.
Stran stanja pravi povezano, lučka je zelena, pisarna pa ne doseže strežnika datotek. Eno od teh dejstev govori o tunelu, drugo o poti skozenj. Spremljanje obeh je razlika med opozorilom, na katerega lahko ukrepate, in tistim, ki se ga naučite ignorirati.
Pet preverjanj, po vrsti, od partnerja navzven.
Preverjanje 1: stanje partnerja ali asociacije
Vsak protokol razkrije svoje stanje. WireGuard prikazuje zadnji rokovanje in števce prenosa za vsakega partnerja prek wg show. OpenVPN zapisuje stanje seje v svojo statusno datoteko ali vmesnik za upravljanje, IPsec pa razkriva varnostne asociacije z orodji, kot je ipsec statusall. Past je brati časovni žig kot sodbo: nedejaven partner WireGuard, ki nima česa poslati, ne bo pred kratkim rokoval, in to ni izpad.
Primerjajte časovni žig s pričakovanim prometom in nastavitvami keepalive, preden koga pokličete.
Preverjanje 2: izbrana pot
Vmesnik tunela lahko obstaja, medtem ko vanj nič ne usmerja. Preverite tabelo posredovanja za cilj, ki vas zanima, ne za lastno podomrežje tunela. Če predpone ni ali kaže drugam, je stanje partnerja nepomembno.
To preverjanje ujame okvaro, ki je lučka stanja nikoli ne pokaže.
Koristno drugo preverjanje primerja tudi naslov vira. ip route get 10.20.5.10 vrne naslednji skok, vmesnik in prednostni vir, napačen vir pa zadostuje, da prekine povratni promet na oddaljenem koncu. Enkrat zapišite pričakovano trojico, nato alarmirajte, ko se spremeni kateri koli element. Ta ena vrstica ujame spremembe NAT, nihanja vmesnika in napake usmerjanja po pravilniku.
Preverjanje 3: dovoljena pot aplikacije
Preizkusite nekaj, kar predstavlja dejansko zahtevo. Ping z usmerjevalnika izhaja z njegovega lastnega naslova in pravilnika, ki se lahko razlikujeta od posredovanega prometa LAN, in številni gostitelji omejujejo ICMP. Če je zahteva zasebna storitev, preizkusite to storitev na njenih resničnih vratih.
Obseg preizkusa naj ostane skromen. Nadzorna zanka ne sme postati promet, ki ga meri.
Preverjanje 4: kaj se je spremenilo in kdaj
Povežite spremembe WAN, obnove ključev, umike poti in odpovedi aplikacij na eni časovnici. Ločite odpoved tunela od nadomestne poti, ki tiho obnovi običajen dostop do interneta, ker oba dajeta enake uporabniške prijave in nasprotne diagnoze. Napake časovnega pasu bodo obrnile vrstni red, zato pred primerjavo normalizirajte. Časovnica je tisto, kar štiri preverjanja spremeni v vzrok.
Ohranite dnevnike za prehode, ne za vsebino.
Preverjanje 5: alarm mora poimenovati mejo
Alarm, ki pravi VPN dol, v polovici primerov pošlje človeka na napačno mesto. Tisti, ki pravi, da je rokovanje partnerja staro dvanajst minut, pot do 10.20.0.0/16 manjka ali preizkus na vrata 445 ne uspe, kaže na določeno preverjanje.
Vodite obratovalne števce, namesto da brskate po vsebinah. Števci odgovorijo na nadzorno vprašanje, ne da bi zbirali vsebino, ki je ne potrebujete.
In pustite politiki preklopa, da odloči, kaj sledi. Nadzor mora ugotoviti, katera meja je odpovedala, ne pa vsakič dovoliti širokega obhoda, ko preizkus ne uspe. Priročnik OpenVPN 2.6 dokumentira statusno datoteko in vmesnik za upravljanje, ki naredita prvo preverjanje skriptljivo.