Періодичні обриви VPN: що фіксувати щоразу

Періодичні обриви — це проблема збору даних раніше, ніж проблема конфігурації. Записуйте ті самі поля при кожному випадку, інакше випадки не можна порівняти. Зміна трьох налаштувань після кожної події знищує єдиний доказ, який ви мали.

Процедура нижче займає близько двох хвилин на випадок і дає один рядок на подію. Вона припускає доступ лише для читання на пристрої, яким ви керуєте.

Визначте поля до першої відмови

Складіть список полів до того, як щось зламається, бо шаблон, вигаданий посеред інциденту, завжди пропускає стовпець. Для початку достатньо п’яти полів: місцевий час із його зсувом, тригер, етап, що зламався, точний текст помилки і те, чи вдалася нова спроба.

Тригер заслуговує на власний словник: простій, повернення зі сну, зміна мережі, сплеск навантаження, оновлення облікових даних або невідомо. Залишайте «невідомо» позначеним як невідомо, а не заповнюйте пізніше з пам’яті. Найбільшу цінність має поле етапу, бо воно фіксує, де зупинився ланцюг, а не що відчував користувач. Текст помилки треба копіювати дослівно, бо переказ втрачає різницю між двома схожими кодами.

Залишайте пропуски пропусками. Шаблон, який вимагає відповіді, запрошує вигадувати, а вигаданий контекст гірший за порожнє місце.

Зафіксуйте ті самі п’ять фактів у момент відмови

Щоразу виконуйте ті самі команди в тому самому порядку. Дві хвилини виводу кращі за фотографію значка в лотку, а порядок важливий, коли пізніше часові позначки не збігаються.

date -Is
journalctl -u wg-quick@wg0 --since "-2 min" --no-pager
wg show wg0 latest-handshakes transfer
ip route get 203.0.113.10
ping -c 3 -W 2 192.0.2.1

Перший рядок позначає спостереження зсувом, і це єдиний спосіб узгодити три джерела, записані в різних зонах. Витяг із журналу охоплює життєвий цикл служби, а рядок рукостискання каже, чи відповів партнер узагалі. Пошук маршруту називає інтерфейс, який використав би конкретний адресат, і це не той самий факт, що існування інтерфейсу. Пінг на адресу тунелю показує, чи щось проходить через з’єднання, а не чи доступний інший бік.

Записуйте один рядок на випадок у поточний журнал, лише з цими полями і нічим іншим. Після п’яти-шести записів відсортуйте за тригером, а потім за етапом. Закономірності виявляються як повторювані пари, а пара, яка ніколи не повторюється, найімовірніше випадковість.

Знайдіть етап, що зламався

Локальна зв’язність, стан партнера, маршрути й розв’язання імен відмовляють у різних місцях, і кожне залишає свій слід. Якщо інтерфейс існує, але жоден маршрут на нього не вказує, відмова — це локальна політика. Якщо позначка часу рукостискання перестає рухатися, поки інтерфейс залишається піднятим, відмова вище за ланцюгом.

Розв’язання імен належить до того самого запису. Розв’язувач, який у понеділок ішов через тунель, а у вівторок через локальну мережу, породжує відмови, що на рівні застосунку виглядають випадковими.

Для дозволеного доступу до сервера зіставляйте ту саму спробу, а не близьке перепідключення. Зберігайте початкові часові позначки й записуйте будь-який зсув окремо, бо перетворення їх на місці стирає доказ перетворення. Одна спроба, один набір часових позначок, один висновок.

Порівнюйте одну умову за раз

Контрольоване порівняння змінює одну значущу умову й тримає невдалий запуск поруч з успішним. Перенесіть пристрій до іншої мережі або вимкніть один виняток, і на тому самому кроці не змінюйте нічого іншого.

Тримайте невдалий запуск у записі. Видалення його на користь робочого відкидає єдиний доказ тієї межі, яку ви шукаєте.

Діліться витягом, а не профілем

Перш ніж щось надсилати, вилучіть паролі, токени, приватні ключі, сторонні ідентичності та корисне навантаження. Повний профіль — це конфігураційна таємниця, а не зведення з’єднання, і йому не місце в заявці.

Надішліть витяг із п’ятьма полями й скажіть, який етап, на вашу думку, відмовив. Це дає адміністраторові змогу розглянути названу вами межу замість того, щоб гортати знімки екрана з від’єднаним значком. Якщо межа досі неясна, наступний крок — ще один контрольований запис, а не чергова зміна налаштувань.