மறுதொடக்கத்திற்குப் பிறகு VPN சேவையகத்தின் மீட்பைச் சோதிக்கவும்: முதலில் எதைச் சரிபார்க்க வேண்டும்

யாரும் உள்நுழையாத நிலையில் சேவையகத்தை மறுதொடக்கம் செய்து, பின்னர் நீங்கள் கட்டுப்படுத்தாத நெட்வொர்க்கிலிருந்து இணைக்கவும். இந்த ஒரே சோதனை மீட்பு உண்மையானதா என்பதற்குப் பதிலளிக்கிறது, ஏனெனில் யாரோ கையால் கட்டளையை இயக்கிய பிறகு மட்டுமே செயல்படும் சுரங்கப்பாதை மீட்பு அல்ல, அது பழுதுநீக்கம். பெரும்பாலான சரிபார்ப்புகள் மிக விரைவில் நிற்கின்றன: டீமன் செயலில் இருப்பதாகத் தெரிகிறது, இடைமுகம் எழுகிறது, ஆனாலும் பக்கம் ஏற்றப்படவில்லை. இடைவெளி கிட்டத்தட்ட எப்போதும் சுரங்கப்பாதையைச் சுற்றியுள்ள பகுதிகளின் நிலைத்தன்மையில் உள்ளது, சுரங்கப்பாதைக் கட்டளையில் அல்ல.

நான்கு உரிமையாளர்கள், நான்கு வெவ்வேறு சோதனைகள்

மறுதொடக்கத்திற்கு முன், சுரங்கப்பாதையை எது திரும்பக் கொண்டுவர வேண்டும் என்பதைப் பெயரிடுங்கள். நீங்கள் இயக்கும் சோதனையும் பயன்படுத்தும் திருத்தமும் இரண்டும் அந்தப் பதிலைச் சார்ந்தவை, மேலும் நான்கு பொதுவான உரிமையாளர்கள் உள்ளனர்: VPN டீமனுக்கான systemd unit, WireGuard இடைமுகத்திற்கான wg-quick நிகழ்வு unit, ஒரு கொள்கலன் இயக்கநேரம் அல்லது நெட்வொர்க் மேலாளர் சுயவிவரம். உரிமையாளரைப் பெயரிட முடியாவிட்டால், நிறுத்தி அதைக் கண்டறியுங்கள், ஏனெனில் எதிர்பார்க்கப்பட்ட தொடக்கப் பாதை இல்லாத மறுதொடக்கச் சோதனை ஏதோ நடந்தது என்று மட்டுமே சொல்லும்.

ஒவ்வொரு உரிமையாளரும் தனது உள்ளமைவை வேறு இடத்தில் வைத்திருக்கிறார். systemd நிர்வகிக்கும் OpenVPN சேவையகம் தொடக்கத்தில் தனது உள்ளமைவைப் படிக்கிறது, எனவே பூட் நேரத்தில் கோப்பில் இருப்பதே இயங்குகிறது. wg-quick இடைமுகம் அதே கோப்பிலிருந்து முகவரிகள், வழிகள் மற்றும் DNS-ஐப் பெறுகிறது, அதாவது ஷெல்லில் இருந்து கையால் உயர்த்தப்பட்டு ஒருபோதும் unit ஆக இயக்கப்படாத இடைமுகம் திரும்பாது. கொள்கலன் அதன் நுழைவுப் புள்ளியைத் திரும்பக் கொண்டுவரும், ஆனால் ஹோஸ்டின் firewall மாற்றங்களை அல்ல, அவை கொள்கலனுக்கு வெளியே இருந்தால் தவிர.

முதலில் அடிப்படை நிலை, இல்லையெனில் முடிவுக்கு அர்த்தமில்லை

செயல்படும்போதே செயல்படும் நிலையைப் பதிவு செய்யுங்கள்: சுரங்கப்பாதையில் முகவரிகள், வாடிக்கையாளர் துணைநெட்வொர்க்கிற்கான வழிகள், NAT அல்லது அனுப்புதல் விதிகள், கேட்கும் சாக்கெட், மற்றும் அனுப்புதல் sysctl. ip addr show wg0, ip route, nft list ruleset அல்லது iptables-save, ss -lunp மற்றும் sysctl net.ipv4.ip_forward பெரும்பாலான ஹோஸ்ட்களில் போதும்.

சேவை இயங்குகிறதா என்பது மட்டுமல்ல, அது தொடங்க எவ்வாறு உள்ளமைக்கப்பட்டுள்ளது என்பதையும் பதிவு செய்யுங்கள். systemctl is-enabled wg-quick@wg0 மற்றும் systemctl is-active wg-quick@wg0 வெவ்வேறு கேள்விகளுக்குப் பதிலளிக்கின்றன, பூட் நேரத்தில் இயக்கப்பட்ட நிலையே முக்கியம், systemctl(1) இல் விவரிக்கப்பட்டுள்ளபடி. OpenVPN க்கு, ஹோஸ்ட் எந்த டெம்ப்ளேட்டைப் பயன்படுத்துகிறது என்பதைச் சரிபார்க்கவும், ஏனெனில் openvpn@server மற்றும் openvpn-server@server வெவ்வேறு இயல்புநிலைகளைக் கொண்ட வெவ்வேறு unit ஆகும்.

மறுதொடக்கத்தை இயக்கி முதல் தோல்வியைப் படியுங்கள்

நீங்கள் தேர்ந்தெடுத்த நேரச் சாளரத்தில் வேண்டுமென்றே மறுதொடக்கம் செய்யுங்கள், ஒரு console அல்லது band-க்கு வெளியேயான பாதையைத் திறந்து வைத்து. இறுதி நிலைக்குப் பதிலாக நிகழ்வுகளின் வரிசையைக் கவனியுங்கள்: ஹோஸ்ட் அணுகக்கூடியது, unit இயக்கப்பட்டது, இடைமுகம் உள்ளது, வழிகள் நிறுவப்பட்டன, firewall விதிகள் உள்ளன, கேட்பவர் பிணைக்கப்பட்டார், வாடிக்கையாளர் ஏற்கப்பட்டார். நடக்காத முதல் படியே கண்டுபிடிப்பு; அதற்குப் பிறகு எல்லாம் இரைச்சல்.

சுரங்கப்பாதை பயன்படுத்த முடியாதபோதும் டீமன் செயலில் இருக்கலாம், இதுவே மிகவும் பொதுவான தவறான வெற்றி. unit network-online.target க்குப் பதிலாக network.target க்கு மட்டும் காத்திருந்தால், நெட்வொர்க் ஆன்லைனுக்கு வருவதற்கு முன்பே தொடக்கம் முடிந்துவிடலாம். சான்றிதழ்கள், விசைகள் அல்லது CRL போன்ற குறிப்பிடப்பட்ட கோப்புகள் அந்த நேரத்தில் படிக்க முடியாததாக இருக்கலாம், ஏனெனில் mount அல்லது ரகசியப் பாதை இன்னும் தயாராகவில்லை. unit இன் இதழைப் படிக்கும் வரை இரண்டு பிரச்சினைகளும் systemctl status இல் தெரியாது.

ஹோஸ்ட்டுக்கு வெளியே சோதிக்கவும். அதே LAN இல் உள்ள வாடிக்கையாளர் எந்த தொலை வாடிக்கையாளரும் ஒருபோதும் பயன்படுத்தாத வழியில் வெற்றி பெறலாம், மேலும் இயந்திரத்திற்கான SSH அமர்வு சுரங்கப்பாதையைப் பற்றி எதையும் நிரூபிக்காது. இணைக்கவும், உள் பெயரைத் தீர்க்கவும், தனிப்பட்ட வளத்தை அடையவும், பின்னர் ரத்துசெய்தல் நிலையும் விசைகளும் இன்னும் பொருந்தும் என்பதை உறுதிப்படுத்த மீண்டும் ஒரு முறை இணைக்கவும்.

உங்கள் திருத்தத்தைத் தீர்மானிக்கும் மூன்று நிபந்தனைகள்

சுரங்கப்பாதை திரும்பி வந்தும் வாடிக்கையாளர்கள் எங்கும் சென்றடையவில்லை என்றால், தோல்வி வழியமைப்பு அல்லது NAT நிலைத்தன்மையில் உள்ளது. வாடிக்கையாளர்கள் handshake-ஐக் கூட முடிக்க முடியாவிட்டால், தோல்வி இடைமுகம் அல்லது அங்கீகாரப் பொருளில் உள்ளது. சேவை ஒருபோதும் தொடங்காவிட்டால், தோல்வி unit கோப்பு அல்லது அதன் சார்புகளில் உள்ளது. இந்த மூன்று கிளைகளும் வெவ்வேறு திருத்தங்களுக்கு இட்டுச் செல்கின்றன, அதனால்தான் அடிப்படை நிலை இல்லாத கண்மூடித்தனமான மறுதொடக்கம் சேமிப்பதை விட அதிக நேரம் எடுக்கிறது.

அமைப்பின் உரிமை உள்ள இடத்திலேயே திருத்தம் செய்யுங்கள். அனுப்புதலை sysctl drop-in இல் வைக்கவும், NAT விதிகளை பூட்டில் ஏற்றப்படும் விதித் தொகுப்பில் வைக்கவும், unit ஐத் தொடங்குவதற்குப் பதிலாக இயக்கவும், ரகசியங்களை unit தொடங்குவதற்கு முன் இருக்கும் பாதையில் வைத்திருங்கள். unit இல் தூக்கத்தைச் சேர்ப்பது சார்பை அறிவிப்பதற்குப் பதிலாக மறைக்கிறது.

முடிவை runbook இல் பதிவு செய்யுங்கள்

தானாக என்ன திரும்பியது, நீங்கள் எதைத் தொடங்க வேண்டியிருந்தது, இடைவெளி எவ்வளவு நேரம் நீடித்தது என்பதை எழுதுங்கள். சரிபார்க்கப் பயன்படுத்திய சரியான கட்டளைகளைச் சேர்க்கவும், அடுத்த நபர் புதிதாகக் கண்டுபிடிக்காமல் சோதனையை மீண்டும் செய்யட்டும். எந்தப் படிக்கும் கையால் கட்டளை தேவைப்பட்டால், அந்தக் கட்டளை உள்ளமைவுக்கு உரியது, runbook இல் நிரந்தரப் படியாக அல்ல.

பின்னர் அடுத்த சோதனையை ஹோஸ்ட்டின் நெட்வொர்க் அடுக்கில் அடுத்த மாற்றத்திற்குப் பிறகு திட்டமிடுங்கள், ஆறு மாதங்களுக்குப் பிறகு ஒரு நாட்காட்டி தேதிக்கு அல்ல. நீங்கள் தடுப்பது நிரந்தரமாகத் தோன்றிய தற்காலிகக் கட்டளை, அவை யாரோ firewall விதிகளைத் திருத்தும்போது அல்லது ஒரு சேவையைப் புதிய unit க்கு நகர்த்தும்போது சரியாகத் தோன்றும்.