ตรวจสอบ VPN ของเราเตอร์โดยไม่เชื่อไฟสถานะเพียงดวงเดียว

หน้าสถานะบอกว่าเชื่อมต่อแล้ว ไฟเป็นสีเขียว แต่สำนักงานเข้าถึงเซิร์ฟเวอร์ไฟล์ไม่ได้ ข้อเท็จจริงข้อหนึ่งเกี่ยวกับอุโมงค์และอีกข้อเกี่ยวกับเส้นทางที่ผ่านอุโมงค์นั้น การตรวจสอบทั้งสองอย่างคือความแตกต่างระหว่างการแจ้งเตือนที่คุณลงมือได้กับการแจ้งเตือนที่คุณเรียนรู้ที่จะเพิกเฉย

การตรวจสอบห้าข้อ ตามลำดับ จากเพียร์ออกไปด้านนอก

การตรวจสอบ 1: สถานะเพียร์หรือการเชื่อมโยง

แต่ละโปรโตคอลเปิดเผยสถานะของตนเอง WireGuard แสดงแฮนด์เชกครั้งล่าสุดและตัวนับการถ่ายโอนต่อเพียร์ผ่าน wg show OpenVPN เขียนสถานะเซสชันลงไฟล์สถานะหรืออินเทอร์เฟซการจัดการ และ IPsec เปิดเผยความเชื่อมโยงด้านความปลอดภัยผ่านเครื่องมืออย่าง ipsec statusall กับดักคือการอ่านตราเวลาเป็นคำตัดสิน เพียร์ WireGuard ที่ไม่ได้ใช้งานและไม่มีอะไรจะส่งจะไม่แฮนด์เชกล่าสุด และนั่นไม่ใช่ความล้มเหลว

เปรียบเทียบตราเวลากับทราฟฟิกที่คาดไว้และการตั้งค่า keepalive ก่อนเรียกใคร

การตรวจสอบ 2: เส้นทางที่เลือก

อินเทอร์เฟซอุโมงค์อาจมีอยู่ขณะที่ไม่มีอะไรถูกส่งไปยังเส้นทางนั้น ตรวจสอบตารางการส่งต่อสำหรับปลายทางที่คุณสนใจ ไม่ใช่ซับเน็ตของอุโมงค์เอง หากคำนำหน้าขาดหายหรือชี้ไปที่อื่น สถานะเพียร์ก็ไม่เกี่ยวข้อง

การตรวจสอบนั้นจับความล้มเหลวที่ไฟสถานะไม่เคยแสดง

การตรวจสอบที่สองที่มีประโยชน์ยังเปรียบเทียบที่อยู่ต้นทางด้วย ip route get 10.20.5.10 ส่งคืนฮอปถัดไป อินเทอร์เฟซ และต้นทางที่ต้องการ และต้นทางที่ผิดก็เพียงพอที่จะตัดทราฟฟิกขากลับที่ปลายทางไกล บันทึกสามสิ่งที่คาดไว้หนึ่งครั้ง แล้วแจ้งเตือนเมื่อองค์ประกอบใดเปลี่ยน บรรทัดเดียวนั้นจับการเปลี่ยนแปลง NAT ความไม่เสถียรของอินเทอร์เฟซ และข้อผิดพลาดในการกำหนดเส้นทางตามนโยบาย

การตรวจสอบ 3: เส้นทางแอปพลิเคชันที่ได้รับอนุญาต

ทดสอบสิ่งที่แสดงถึงข้อกำหนดจริง ping ที่เริ่มจากเราเตอร์ออกจากที่อยู่และนโยบายของเราเตอร์เอง ซึ่งอาจแตกต่างจากทราฟฟิก LAN ที่ส่งต่อ และโฮสต์จำนวนมากจำกัด ICMP หากข้อกำหนดคือบริการส่วนตัว ให้ทดสอบบริการนั้นที่พอร์ตจริง

รักษาปริมาณการทดสอบให้พอเหมาะ ลูปการตรวจสอบไม่ควรกลายเป็นทราฟฟิกที่มันวัด

การตรวจสอบ 4: อะไรเปลี่ยนและเมื่อใด

เชื่อมโยงการเปลี่ยนแปลง WAN การต่ออายุคีย์ การถอนเส้นทาง และความล้มเหลวของแอปพลิเคชันบนไทม์ไลน์เดียว แยกความล้มเหลวของอุโมงค์ออกจาก เส้นทางสำรองที่คืนการเข้าถึงอินเทอร์เน็ตปกติอย่างเงียบ ๆ เพราะทั้งสองให้รายงานผู้ใช้เหมือนกันและการวินิจฉัยตรงกันข้าม ข้อผิดพลาดเขตเวลาจะกลับลำดับ ดังนั้นทำให้เป็นมาตรฐานก่อนเปรียบเทียบ ไทม์ไลน์คือสิ่งที่เปลี่ยนการตรวจสอบสี่ข้อให้เป็นสาเหตุ

เก็บล็อกสำหรับการเปลี่ยนแปลง ไม่ใช่สำหรับเพย์โหลด

การตรวจสอบ 5: การแจ้งเตือนควรระบุขอบเขต

การแจ้งเตือนที่บอกว่า VPN ล่มส่งคนไปผิดที่ครึ่งหนึ่งของการแจ้งเตือน การแจ้งเตือนที่บอกว่าแฮนด์เชกของเพียร์เก่ามาสิบสองนาที เส้นทางไป 10.20.0.0/16 หายไป หรือการทดสอบพอร์ต 445 ล้มเหลว ชี้ไปที่การตรวจสอบที่เฉพาะเจาะจง

เก็บตัวนับการดำเนินงานแทนการเรียกดูเพย์โหลด ตัวนับตอบคำถามการตรวจสอบโดยไม่เก็บเนื้อหาที่คุณไม่จำเป็นต้องใช้

และให้แนวนโยบายการสลับสำรองตัดสินใจว่าจะเกิดอะไรขึ้นต่อไป การตรวจสอบควรระบุว่าขอบเขตใดล้มเหลว ไม่ควรอนุญาตให้ข้ามวงกว้างทุกครั้งที่การทดสอบล้มเหลว คู่มือ OpenVPN 2.6 อธิบายไฟล์สถานะและอินเทอร์เฟซการจัดการที่ทำให้การตรวจสอบแรกเขียนเป็นสคริปต์ได้