journalctl para sa mga log ng VPN: aling unit ang may-ari ng koneksyon?

Magsimula sa systemd unit na talagang may-ari ng koneksyon ng VPN, hindi sa log command na natatandaan mo. Isang direktang serbisyo ng OpenVPN, isang unit ng wg-quick at isang profile ng NetworkManager ang naglalagay ng kanilang mga kapaki-pakinabang na mensahe sa magkakaibang unit, at ang query sa maling unit ay nagbibigay ng walang laman na resulta na mukhang katahimikan. Ihambing ang tatlong karaniwang may-ari, paliitin ang bintana, pagkatapos basahin ang mga yugto nang sunod-sunod.

Ihambing ang tatlong karaniwang may-ari

Ang serbisyo ng kliyente ng OpenVPN ay karaniwang isang instance unit na pinangalanan sa profile, tulad ng [email protected]. Kasama sa mga mensahe nito ang landas ng configuration, ang pagsusuri ng mga opsyon, ang TLS handshake at ang pag-install ng ruta na ginagawa ng kliyente.

Ang unit ng wg-quick ay mas tahimik ayon sa disenyo. Nangyayari ang configuration ng interface sa pagsisimula, ang kernel ang humahawak ng handshake, at ang mga regular na pag-renew ng key ay hindi naka-log bilang default, kaya ang wg show ay madalas na mas may impormasyon kaysa sa journal. Mahalaga ang pagkakaibang iyon kapag inihahambing mo ang protocol na naglo-log ng negosasyon sa isang hindi ginagawa iyon.

Pagmamay-ari ng NetworkManager ang mga profile na ginawa nito, at ang mga mensahe nito ay nasa ilalim ng NetworkManager.service kahit na ang pangunahing plugin ay isang katulong ng VPN. Tanungin ang parehong manager at ang katulong na unit kapag ang profile ay pinamamahalaan sa ganoong paraan.

Paliitin ang query sa isang unit at isang bintana

Tanungin ang unit na natukoy mo, at limitahan ang oras sa pagtatangkang iniimbestigahan mo. Karaniwang sapat ang isang araw, at mas mabuti ang mas maikling bintana kapag madalas na muling kumokonekta ang makina.

journalctl -u [email protected] --since today
systemctl list-units --type=service | grep -i vpn
systemctl cat [email protected]

I-verify ang naka-install na pangalan bago magtiwala sa query. Binabago ng packaging ng distribusyon ang mga pangalan ng unit, at ang profile na umiiral bilang file ay maaaring hindi kailanman na-enable bilang serbisyo. Kung wala ang unit, sinasabi sa iyo ng walang laman na journal ang tungkol sa deployment at hindi tungkol sa tunnel.

Basahin ang unang nabigong yugto

Basahin ang mga pangyayari sa pagkakasunod-sunod na nangyayari ang mga ito: paghahanap ng endpoint, transport, pagkakakilanlan, authentication, pag-install ng ruta at ang susunod na pagpalya ng application. Ang unang tiyak na pagpalya ang karapat-dapat imbestigahan, dahil lahat ng sumusunod ay bunga.

Ang serbisyong matagumpay na nagsisimula ay hindi nagpapatunay na maaabot ang bawat kinakailangang resource. Ang loop ng muling pagkonekta ay maaaring gumawa ng ilang hiwalay na negosasyon, kaya itago ang pangalan ng profile at oras ng pagtatangka kasama ng mga pangyayari, at basahin ang isang pagtatangka sa halip na pinagsamang stream. Ang isang pagtatangka ay pagkakasunod-sunod na may sanhi, samantalang ang pinagsamang stream ay pader ng mga paulit-ulit na linya. Isulat ang unang error sa ticket bago magbasa pa.

Huwag paghalo-haluin ang nabigong serbisyo sa manu-manong kliyente

Kung sinimulan mo ang kliyente sa pamamagitan ng kamay matapos mabigo ang serbisyo, ang output nito ay napupunta sa ibang lugar at maaaring iba ang pag-uugali. Kunin ang bagong resulta mula sa parehong may-ari at parehong kahilingan pagkatapos ng suportadong pagwawasto, upang ang paghahambing ay magpakita ng nabago sa halip na paghalo ng dalawang magkaibang programa.

Huwag baguhin ang orihinal na mga timestamp upang ihanay sa ibang host. Itala nang hiwalay ang timezone at anumang kilalang pagkakaiba ng orasan, dahil ang timeline na iyong in-edit ay hindi na ebidensya.

Magbahagi ng sipi, hindi export

Ang mga entry sa journal ay maaaring maglaman ng mga username, address ng endpoint, pribadong topolohiya at impormasyon ng kapaligiran ng script. Suriin ang aktwal na sipi at itago ang sensitibo sa halip na maglathala ng kumpletong walang limitasyong export. Sipiin ang mga linyang nagpapatunay ng pagpalya at ibuod ang iba. Ang maikling sinuring sipi ay mas madaling gamitin kaysa sa file na walang nagbabasa.

Ipadala ang makitid na bintana, ang pangalan ng unit at ang unang nabigong yugto, at sabihin ang naibukod mo na. Ang manwal ng systemd journalctl ay nagdodokumento ng mga selector at opsyon ng output kung kailangan mo ng anyong sinusuportahan ng bersyon ng distribusyon.