Преглед VPN интерфејса у Linux-у помоћу ip link, слој по слој

Икона клијента каже да је повезан, интерфејс постоји, а апликација ипак не достиже ништа. Та комбинација је честа, јер виртуелни интерфејс може остати присутан док недостају његов удаљени партнер, адресе или руте. ip link је прави први алат и уједно онај који се најлакше пречита превише оптимистично. Заставице и бројачи описују један слој, а слојеви изнад њих отказују независно. То је и алат који људи цитирају када желе да докажу да је тунел подигнут, а управо тај закључак он сам не може да подржи.

Прочитајте интерфејс пре него што прочитате икону

Почните са ip -details link show dev tun0 како је документовано у упутству за ip-link, уз замену уобичајеног имена интерфејсом који ваш клијент заиста поседује. Заставице, тип, MTU и идентитет интерфејса су корисна запажања. Формулација стања виртуелног интерфејса не мора да се понаша као индикација носача физичког кабла, зато UP третирајте као тврдњу о интерфејсу, а не о тунелу.

Та разлика објашњава најзбуњујући случај: интерфејс опстаје док се удаљена страна поново повезује или је недоступна.

Подешавања трајности могу да задрже везу управо зато да је поновно повезивање не би поново градило, што значи да присуство није здравље.

Додајте бројаче и захтев који треба да их искористи

Користите подржани приказ статистике, ip -s link show dev tun0, и забележите бројеве пакета и бајтова у оба смера. Затим генеришите безопасан захтев који би требало да прође кроз интерфејс и упоредите одговарајући смер. Захтев који је отишао директном рутом друге апликације неће померити те бројаче, и управо у томе је поента вежбе.

Ако се бројач слања помера а бројач пријема не, пакет је отишао и ништа се није вратило. То је други проблем од интерфејса који никада ништа није пренео. Ако се померају оба бројача а апликација и даље не успева, грешка је изнад интерфејса, што је напредак, а не ћорсокак.

Очитајте два пута, једном пре и једном после, уместо да верујете једном снимку.

Адресе и руте су одвојени кораци

Веза може постојати без префикса, конфигурације резолвера или руте која је апликацији потребна. Проверите адресу помоћу ip address show dev tun0, затим проверите коју би руту одредиште изабрало помоћу ip route get за стварни циљ. Та три запажања одговарају на три различита питања, а само последње се тиче прослеђивања.

Код IPsec-а могу бити важни и безбедносна политика и стање придруживања, а не сваки дизајн IPsec-а се појављује као једноставан tun интерфејс. Тражење tun уређаја који никада не би настао је брз пут до погрешног закључка.

Забележите тачно име, простор имена и време уз сваки излаз који чувате, јер исто изгледајуће име у другом контејнеру или обновљеној сесији представља потпуно други контекст.

Не бришите оно што нисте идентификовали

Непознат интерфејс није аутоматски застарео. Идентификујте његовог власника пре него што било шта уклоните, а када је уклањање заиста намеравано, користите документовани поступак затварања у клијенту или управљану конфигурацију. Брисање живог тунела да бисте видели шта се дешава је тест који одговара на питање које нико није поставио.

Ако интерфејс припада контејнерском извршном окружењу или мрежном простору имена који нисте направили, власник је удаљен једну команду и вреди га прво наћи.

Тај опрез важи и за ip link set down, који изгледа повратно и често није.

Шта треба да вам преглед остави

Добар преглед се завршава са четири чињенице: име интерфејса и простор имена, његове заставице и MTU, разлика бројача из стварног захтева, и рута и адреса која је апликацији заиста потребна. Када су записане, следећи корак је очигледан и припада одређеном слоју. Без њих, свака наредна измена је нагађање са планом враћања.

Упоредите те четири чињенице са истим четири из радне сесије. Ако се име интерфејса и простор имена поклапају, али разлика бројача је нула, захтев никада није стигао до тунела. Ако је разлика бројача здрава а рута показује другде, тунел је у реду а рутирање није. Управо то поређење претвара гомилу излаза у одлуку.

Чувајте излаз уз тикет, јер је касније поређење корисно само ако видите шта се променило.

Затим затворите петљу тако што ћете поново тестирати апликацију, јер интерфејс никада није био оно до чега је кориснику стало.