Надгледајте VPN на рутеру без поверења у једну статусну лампицу

Страница статуса каже повезано, лампица је зелена, а канцеларија не може да дође до сервера датотека. Једна од тих чињеница тиче се тунела, а друга пута кроз њега. Надгледање оба је разлика између аларма на који можете да реагујете и оног који научите да игноришете.

Пет провера, по реду, од партнера према споља.

Провера 1: стање партнера или асоцијације

Сваки протокол излаже сопствено стање. WireGuard приказује последњи руковање и бројаче преноса по партнеру кроз wg show. OpenVPN уписује стање сесије у статусну датотеку или управљачко сучеље, а IPsec излаже безбедносне асоцијације кроз алате као што је ipsec statusall. Замка је читати временску ознаку као пресуду: миран WireGuard партнер који нема шта да пошаље неће недавно обавити руковање, и то није прекид.

Упоредите временску ознаку са очекиваним прометом и подешавањима keepalive пре него што икога позовете.

Провера 2: изабрана рута

Сучеље тунела може постојати док ништа не рутира у њега. Проверите табелу прослеђивања за одредиште које вас занима, не за сопствену подмрежу тунела. Ако префикс недостаје или показује негде другде, стање партнера је небитно.

Та провера хвата квар који статусна лампица никада не покаже.

Корисна друга провера упоређује и изворишну адресу. ip route get 10.20.5.10 враћа следећи хоп, сучеље и пожељно извориште, а погрешно извориште довољно је да прекине повратни промет на удаљеном крају. Забележите очекивану тројку једном, затим алармирајте када се било који елемент промени. Тај један ред хвата промене NAT-а, подрхтавања сучеља и грешке усмеравања по политици.

Провера 3: дозвољена путања апликације

Проверите нешто репрезентативно за стварни захтев. Пинг са рутера креће са његове сопствене адресе и политике, што се може разликовати од прослеђеног LAN промета, а многи домаћини ограничавају ICMP. Ако је захтев приватна услуга, тестирајте ту услугу на њеним стварним вратима.

Држите обим провере скромним. Надзорна петља не сме постати промет који мери.

Провера 4: шта се променило и када

Повежите WAN промене, обнављање кључева, повлачење рута и кварове апликација на једној временској линији. Разликујте квар тунела од резервне руте која тихо враћа обичан приступ интернету, јер оне дају идентичне корисничке пријаве и супротне дијагнозе. Грешке временске зоне обрнуће редослед, па нормализујте пре поређења. Временска линија је оно што четири провере претвара у узрок.

Чувајте дневнике за прелазе, не за садржај.

Провера 5: аларм треба да именује границу

Аларм који каже VPN је пао у пола случајева шаље човека на погрешно место. Онај који каже да је руковање партнера старо дванаест минута, да рута до 10.20.0.0/16 недостаје или да провера порта 445 не успева, показује на конкретну проверу.

Држите оперативне бројаче уместо да прегледате садржаје. Бројачи одговарају на надзорно питање без прикупљања садржаја који вам не треба.

И нека политика пребацивања одлучи шта следи. Надзор треба да идентификује која је граница пала, а не да одобрава широко заобилажење сваки пут кад провера не успе. Приручник за OpenVPN 2.6 документује статусну датотеку и управљачко сучеље који прву проверу чине скриптабилном.