Si të kontrolloni nëse një tunel VPN në Linux është vërtet aktiv

Cron rinis çdo dhjetë minuta një VPN plotësisht të shëndoshë, dhe e njëjta detyrë lë një të vdekur të punojë për një javë. Të dyja dështimet vijnë nga trajtimi i «aktiv» si një fakt i vetëm, kur ai është të paktën katër. Një pajisje mund të jetë e aktivizuar administrativisht, e rrugëzuar saktë, plotësisht e kriptuar dhe prapë të mos mbajë asgjë të dobishme. Fillimisht ndani vëzhgimet, dhe kontrolli pothuajse shkruhet vetë.

Flamujt e lidhjes përshkruajnë pajisjen, jo rrugën

Kontrolli që të gjithë kopjojnë kërkon një adresë harduerike prej zerosh të plotë. Ky truk në disa drejtues ndan një ndërfaqe të vërtetë nga një zëvendësues dhe në të tjerët nuk provon asgjë, sepse një pajisje tun nuk ka fare MAC për të raportuar. ip -brief link show tun0 në vend të kësaj jep flamuj: UP do të thotë që një administrator e ka aktivizuar pajisjen, dhe LOWER_UP do të thotë që drejtuesi e konsideron lidhjen të përdorshme. Të lexuar së bashku, thonë se pajisja ekziston dhe nuk është e fikur administrativisht. Asnjëri prej tyre nuk thotë se paketa ka ku të shkojë.

OpenVPN e krijon pajisjen e vet tun përpara se të instalohen rrugët, kështu që flamujt mund të duken të përsosur ndërkohë që asgjë nuk është rrugëzuar. Trajtojini si parakusht, kurrë si përgjigje.

Pyetni ku do të shkonte një paketë

Kërkimi i rrugës përgjigjet pyetjes që flamujt nuk munden. ip route get 10.8.0.1 from 10.8.0.2 emërton ndërfaqen, adresën burimore dhe tabelën që do të përdorte kerneli, dhe pikërisht kjo është ajo kundrejt së cilës duhet të kontrollohet një tunel i ndarë. Pa adresën burimore po pyesni diçka tjetër, dhe me rrugëzim sipas politikave përgjigjja mund të ndryshojë sipas burimit. Ky është testi i ndershëm më i lirë, sepse konsulton të njëjtat rregulla që do të përdorë trafiku juaj.

Për WireGuard, shtoni shtrëngimin e duarve. wg show shtyp një vulë kohore të shtrëngimit të fundit të duarve për çdo partner, dhe një vulë që ka ndaluar së përparuari do të thotë që partneri është zhdukur, çfarëdo që thonë flamujt e ndërfaqes. Një ndërfaqe e konfiguruar pa shtrëngim të duarve të fundit është një nga pozitivët e rremë më të zakonshëm në monitorimin e bërë në shtëpi.

Tabela 220 tregon historinë e IPsec

strongSwan instalon rrugët për përzgjedhësit e negociuar në tabelën 220 kur instalimi i rrugëve është i aktivizuar. ip route list table 220 prandaj ndan të negociuarin nga i rrugëzuari: një tabelë bosh pranë një lidhjeje të ngarkuar do të thotë që SA-të IKE dhe CHILD u ngritën ndërkohë që asnjë trafik nuk drejtohet drejt tyre. Kontrolloni ip xfrm state pranë saj, sepse rendit shoqatat e sigurisë të instaluara dhe pikat e tyre fundore.

Një politikë kurthi është rasti për të cilin duhet të keni kujdes. Pret trafik interesant në vend që ta rrugëzojë, kështu që tabela mbetet bosh derisa diçka të aktivizojë tunelin.

Gjendja e menaxherit dhe gjendja e demonit janë lista të ndryshme

NetworkManager rendit vetëm lidhjet që zotëron. nmcli -t -f NAME,TYPE connection show --active nuk kthen asgjë për një tunel të nisur drejtpërdrejt nga wg-quick ose nga një demon OpenVPN.

Ky dallim ka rëndësi kur një skript duhet të vendosë se cilin prej dy menaxherëve të pyesë. Zgjidhni atë që e zotëron vërtet tunelin në këtë host dhe injoroni heshtjen e tjetrit. Nëse ekzistojnë të dy, vendosni cili është autoritar dhe çaktivizoni të dytin, sepse dy menaxherë që rishkruajnë rrugët në një ndërfaqe të vetme prodhojnë dështime që askush nuk mund t'i riprodhojë. Një zë që mungon është informacion për menaxherin, jo për tunelin.

Kushtëzoni hapin tjetër nga testi që i nevojitet

Anketimi i një porte UDP nuk provon asgjë për gatishmërinë, sepse UDP nuk ka shtrëngim duarve dhe nc -u ka sukses sapo paketa del. Testoni atë që hapi tjetër konsumon vërtet: një lidhje TCP me portën e përcjellë, një kërkesë drejt një hosti brenda tunelit, një emër që zgjidhet vetëm atje. Kufizoni pritjen me një afat kohor dhe një numër përpjekjesh, dhe dështoni me zë kur mbaron.

Grepët munden më mirë se anketimi kur klienti i ofron. --up dhe --down skriptet e OpenVPN ekzekutohen pasi ndërfaqja ndryshon gjendje, gjë që e heq plotësisht garën, por ato ekzekutohen me privilegjet që demoni ka mbajtur. Nëse OpenVPN ka zbritur në një llogari pa privilegje përmes user dhe group, grepja ekzekutohet si ajo llogari. Rinisja e një shërbimi sistemi atëherë kërkon sudo për të lejuar pikërisht atë komandë. Ia besoni përsëritjen menaxherit të shërbimeve në vend të një cikli cron: një politikë rinisjeje e kufizuar me një kufi nisjesh nxjerr në pah një tunel të thyer, ndërsa një cikël i pakufizuar e fsheh pa fund.