Jinsi ya kuhakiki kama handaki la VPN kwenye Linux linafanya kazi kweli

Cron huanzisha upya VPN mzima mzima kila dakika kumi, na kazi hiyo hiyo huacha moja iliyokufa ikiendesha kwa wiki nzima. Hitilafu zote mbili zinatoka katika kuchukua «inafanya kazi» kama ukweli mmoja wakati ni angalau nne. Kifaa kinaweza kuwa kimewashwa kiutawala, kimeelekezwa vizuri, kimesimbwa kikamilifu na bado kisibebe kitu chochote cha manufaa. Tenganisha uchunguzi kwanza, na ukaguzi karibu hujiandika wenyewe.

Bendera za kiungo zinaeleza kifaa, si njia

Ukaguzi ambao kila mtu huiga hutafuta anwani ya maunzi iliyoundwa na sufuri tupu. Ujanja huo hutenganisha kiolesura halisi na kishika nafasi katika viendeshi vingine na hauthibitishi kitu kwa vingine, kwa sababu kifaa cha tun hakina MAC ya kuripoti. ip -brief link show tun0 badala yake hutoa bendera: UP humaanisha msimamizi aliwasha kifaa, na LOWER_UP humaanisha kiendeshi kinachukua kiungo kuwa kinatumika. Zikisomwa pamoja, zinasema kifaa kipo na hakijazimwa kiutawala. Hakuna hata moja inayosema pakiti ina mahali pa kwenda.

OpenVPN huunda kifaa chake cha tun kabla njia hazijasakinishwa, kwa hiyo bendera zinaweza kuonekana kamili wakati hakuna kitu kilichoelekezwa. Zichukulie kama sharti, kamwe si jibu.

Uliza pakiti itakwenda wapi

Utafutaji wa njia hujibu swali ambalo bendera haziwezi. ip route get 10.8.0.1 from 10.8.0.2 hutaja kiolesura, anwani ya chanzo na jedwali ambalo kerneli ingetumia, na ndilo hasa handaki lililogawanywa linapaswa kuhakikiwa dhidi yake. Bila anwani ya chanzo unauliza kitu kingine, na kwa uelekezaji wa sera jibu linaweza kutofautiana kwa chanzo. Hili ni jaribio la uaminifu la bei nafuu zaidi, kwa sababu linashauriana na kanuni zilezile ambazo trafiki yako itatumia.

Kwa WireGuard, ongeza kupeana mkono. wg show huchapisha alama ya muda ya kupeana mkono kwa mwenza kila mmoja, na alama iliyoacha kusonga mbele humaanisha mwenza hayupo, chochote bendera za kiolesura zinachosema. Kiolesura kilichosanidiwa bila kupeana mkono wa hivi karibuni ni mojawapo ya uongo chanya unaojulikana sana katika ufuatiliaji wa nyumbani.

Jedwali 220 linasimulia hadithi ya IPsec

strongSwan husakinisha njia za wateule waliokubaliwa katika jedwali 220 wakati usakinishaji wa njia umewashwa. ip route list table 220 kwa hiyo hutenganisha kilichokubaliwa na kilichoelekezwa: jedwali tupu kando ya muunganisho uliopakiwa humaanisha IKE na CHILD SA zilipanda wakati hakuna trafiki inayoelekezwa ndani yao. Hakiki ip xfrm state kando yake, kwa sababu huorodhesha vyama vya usalama vilivyosakinishwa na sehemu zake za mwisho.

Sera ya mtego ndiyo hali inayopaswa kuangaliwa. Inasubiri trafiki ya kuvutia badala ya kuielekeza, kwa hiyo jedwali hubaki tupu hadi kitu kianzishe handaki.

Hali ya msimamizi na hali ya daemon ni orodha tofauti

NetworkManager huorodhesha miunganisho inayomilikiwa nayo pekee. nmcli -t -f NAME,TYPE connection show --active hairudishi kitu kwa handaki lililozinduliwa moja kwa moja na wg-quick au na daemon ya OpenVPN.

Tofauti hiyo ni muhimu wakati scripti inapaswa kuamua msimamizi gani kati ya wawili wa kuuliza. Chagua yule anayemiliki handaki kwenye mwenyeji huyu na upuuze ukimya wa mwingine. Ikiwa wote wawili wapo, amua nani mwenye mamlaka na uzimawe mwingine, kwa sababu wasimamizi wawili wanaoandika upya njia kwenye kiolesura kimoja huzalisha hitilafu ambazo hakuna mtu anayeweza kuzizalisha tena. Kumbukumbu inayokosekana ni taarifa kuhusu msimamizi, si kuhusu handaki.

Weka hatua inayofuata kwenye jaribio inalohitaji

Kuchunguza bandari ya UDP hakuthibitishi kitu kuhusu utayari, kwa sababu UDP haina kupeana mkono na nc -u hufanikiwa mara tu pakiti inatoka. Jarbu kile hatua inayofuata hutumia kweli: muunganisho wa TCP kwenye bandari iliyopelekwa, ombi kwa mwenyeji ndani ya handaki, jina linalotatuliwa hapo pekee. Weka kikomo cha kusubiri kwa muda na idadi ya majaribio, na ushindwe kwa sauti kubwa kinapokwisha.

Vijiti hushinda uchunguzi pale mteja anapovitoa. --up na --down scripti za OpenVPN hukimbia baada ya kiolesura kubadili hali, jambo linaloondoa mbio kabisa, lakini hukimbia kwa mapendeleo ambayo daemon iliyabakiza. Ikiwa OpenVPN imeshuka hadi akaunti isiyo na mapendeleo kupitia user na group, kijiti hukimbia kama akaunti hiyo. Kuanzisha upya huduma ya mfumo basi kunahitaji sudo ili kuruhusu amri hiyo hasa. Kabidhi jaribio la kurudia kwa msimamizi wa huduma badala ya mzunguko wa cron: sera ya kuanzisha upya yenye kikomo cha kuanza hufichua handaki lililovunjika, wakati mzunguko usio na kikomo huificha bila mwisho.