Monitoroni një VPN routeri pa i besuar një drite të vetme statusi
Gjendja e partnerit, rruga e zgjedhur dhe një provë e lejuar aplikacioni përgjigjen pyetje të ndryshme. Alarmoni në kufirin që dështoi, jo në një ikonë të gjelbër.
Faqja e statusit thotë e lidhur, drita është e gjelbër dhe zyra nuk arrin serverin e skedarëve. Një prej këtyre fakteve ka të bëjë me tunelin dhe tjetri me rrugën përmes tij. Monitorimi i të dyjave është dallimi mes një alarmi ku mund të veproni dhe një tjetri që mësoni ta injoroni.
Pesë kontrolle, me radhë, nga partneri nga jashtë.
Kontrolli 1: gjendja e partnerit ose e shoqatës
Çdo protokoll zbulon gjendjen e vet. WireGuard tregon shtrëngimin e fundit të duarve dhe numëruesit e transferimit për çdo partner përmes wg show. OpenVPN shkruan gjendjen e sesionit në skedarin e statusit ose në ndërfaqen e menaxhimit, dhe IPsec zbulon shoqatat e sigurisë përmes mjeteve si ipsec statusall. Kurthi është të lexosh vulën kohore si verdikt: një partner WireGuard i papunë pa asgjë për të dërguar nuk do të shtrëngojë duart së fundmi, dhe kjo nuk është ndërprerje.
Krahasoni vulën kohore me trafikun e pritur dhe cilësimet keepalive përpara se të telefononi dikë.
Kontrolli 2: rruga e zgjedhur
Një ndërfaqe tuneli mund të ekzistojë ndërkohë që asgjë nuk drejtohet në të. Kontrolloni tabelën e përcjelljes për destinacionin që ju intereson, jo për nënrrjetin e vetë tunelit. Nëse prefiksi mungon ose tregon diku tjetër, gjendja e partnerit është e parëndësishme.
Ai kontroll kap dështimin që një dritë statusi nuk e tregon kurrë.
Një kontroll i dytë i dobishëm krahason edhe adresën e burimit. ip route get 10.20.5.10 kthen hapin tjetër, ndërfaqen dhe burimin e preferuar, dhe një burim i gabuar mjafton për të prishur trafikun e kthimit në skajin e largët. Shënoni një herë treshen e pritur, pastaj alarmoni kur ndryshon çdo element. Ajo rresht i vetëm kap ndryshimet e NAT-it, luhatjet e ndërfaqes dhe gabimet e drejtimit sipas politikës.
Kontrolli 3: një rrugë e lejuar aplikacioni
Provoni diçka që përfaqëson kërkesën reale. Një ping që niset nga routeri del nga adresa dhe politika e vetë routerit, të cilat mund të ndryshojnë nga trafiku LAN i përcjellë, dhe shumë hoste kufizojnë ICMP. Nëse kërkesa është një shërbim privat, provoni atë shërbim në portën e tij reale.
Mbajeni volumin e provës modest. Një cikël monitorimi nuk duhet të bëhet trafiku që mat.
Kontrolli 4: çfarë ndryshoi dhe kur
Lidhni ndryshimet e WAN-it, rinovimet e çelësave, tërheqjet e rrugëve dhe dështimet e aplikacioneve në një vijë të vetme kohore. Dalloni një dështim tuneli nga një rrugë rezervë që rikthen në heshtje aksesin normal në internet, sepse të dyja prodhojnë raporte identike përdoruesish dhe diagnoza të kundërta. Gabimet e zonës kohore do të kthejnë rendin, prandaj normalizoni përpara krahasimit. Vija kohore është ajo që i kthen katër kontrolle në një shkak.
Ruani regjistrat për kalimet, jo për ngarkesën.
Kontrolli 5: alarmi duhet të përmendë kufirin
Një alarm që thotë VPN poshtë dërgon dikë në vendin e gabuar gjysmën e kohës. Një që thotë se shtrëngimi i duarve i partnerit është vjetruar dymbëdhjetë minuta, rruga drejt 10.20.0.0/16 mungon ose prova në portën 445 dështon, tregon një kontroll specifik.
Mbani numërues operacionalë në vend që të shfletoni ngarkesa. Numëruesit i përgjigjen pyetjes së monitorimit pa mbledhur përmbajtje që nuk ju nevojitet.
Dhe lëreni politikën e kalimit të vendosë çfarë vjen më pas. Monitorimi duhet të identifikojë cili kufi dështoi, jo të autorizojë një anashkalim të gjerë sa herë që një provë dështon. Manualja e OpenVPN 2.6 dokumenton skedarin e statusit dhe ndërfaqen e menaxhimit që e bëjnë kontrollin e parë të skriptueshëm.