Bitta holat chiroqiga ishonmasdan router VPN-ni kuzating

Holat sahifasi ulangan deb aytadi, chiroq yashil, ofis esa fayl serveriga yetib bormaydi. Bu faktlardan biri tunnel haqida, ikkinchisi undan o'tuvchi yo'l haqida. Ikkalasini ham kuzatish — harakat qilishingiz mumkin bo'lgan ogohlantirish bilan e'tiborsiz qoldirishni o'rganadigan ogohlantirish o'rtasidagi farq.

Beshta tekshiruv, tartib bilan, peer'dan tashqariga.

1-tekshiruv: peer yoki assotsiatsiya holati

Har bir protokol o'z holatini ko'rsatadi. WireGuard wg show orqali har bir peer uchun oxirgi handshake va uzatish hisoblagichlarini ko'rsatadi. OpenVPN sessiya holatini o'z holat fayli yoki boshqaruv interfeysiga yozadi, IPsec esa xavfsizlik assotsiatsiyalarini ipsec statusall kabi vositalar orqali ko'rsatadi. Tuzoq vaqt belgisini hukm sifatida o'qishdir: yuborish uchun hech narsasi yo'q bo'sh WireGuard peer yaqinda handshake qilmaydi va bu uzilish emas.

Birovni chaqirishdan oldin vaqt belgisini kutilayotgan trafik va keepalive sozlamalari bilan solishtiring.

2-tekshiruv: tanlangan marshrut

Tunnel interfeysi mavjud bo'lishi mumkin, lekin unga hech narsa marshrutlanmasligi mumkin. Siz uchun muhim manzil uchun yo'naltirish jadvalini tekshiring, tunnelning o'z subneti uchun emas. Agar prefiks yo'q bo'lsa yoki boshqa joyga ishora qilsa, peer holatining ahamiyati yo'q.

Bu tekshiruv holat chirog'i hech qachon ko'rsatmaydigan nosozlikni ushlaydi.

Foydali ikkinchi tekshiruv manba manzilini ham solishtiradi. ip route get 10.20.5.10 keyingi sakrashni, interfeysni va afzal manbani qaytaradi, va noto'g'ri manba uzoq uchidagi qaytish trafigini buzish uchun yetarli. Kutilayotgan uchlikni bir marta yozib qo'ying, so'ngra biron element o'zgarsa signal bering. O'sha bitta satr NAT o'zgarishlarini, interfeys tebranishlarini va siyosatga asoslangan marshrutlash xatolarini ushlaydi.

3-tekshiruv: ruxsat etilgan ilova yo'li

Haqiqiy talabni ifodalovchi narsani sinab ko'ring. Routerdan chiqqan ping uning o'z manzili va siyosatidan chiqadi, bu uzatilgan LAN trafigidan farq qilishi mumkin, va ko'p hostlar ICMPni cheklaydi. Agar talab xususiy xizmat bo'lsa, o'sha xizmatni haqiqiy portida sinab ko'ring.

Tekshiruv hajmini me'yorida saqlang. Kuzatuv tsikli o'zi o'lchaydigan trafikka aylanmasligi kerak.

4-tekshiruv: nima o'zgardi va qachon

WAN o'zgarishlarini, kalit yangilanishlarini, marshrutlarning qaytarib olinishini va ilova nosozliklarini bitta vaqt chizig'ida bog'lang. Tunnel nosozligini oddiy internet kirishini jimgina tiklaydigan zaxira marshrutdan ajrating, chunki ikkalasi ham bir xil foydalanuvchi shikoyatlari va qarama-qarshi tashxislar beradi. Vaqt mintaqasi xatolari tartibni teskari qiladi, shuning uchun solishtirishdan oldin normallashtiring. To'rtta tekshiruvni sababga aylantiradigan narsa — vaqt chizig'i.

Jurnallarni o'tishlar uchun saqlang, foydali yuk uchun emas.

5-tekshiruv: signal chegarani nomlashi kerak

VPN o'chdi degan signal odamni yarim holatda noto'g'ri joyga yuboradi. Peer handshake o'n ikki daqiqadan beri eskirgan, 10.20.0.0/16 marshruti yo'q yoki 445 portidagi tekshiruv muvaffaqiyatsiz degan signal aniq tekshiruvga ishora qiladi.

Foydali yuklarni ko'rish o'rniga operatsion hisoblagichlarni yuriting. Hisoblagichlar sizga kerak bo'lmagan tarkibni yig'masdan kuzatuv savoliga javob beradi.

Va keyin nima bo'lishini failover siyosati hal qilsin. Kuzatuv qaysi chegara muvaffaqiyatsiz bo'lganini aniqlashi kerak, har safar tekshiruv muvaffaqiyatsiz bo'lganda keng chetlab o'tishga ruxsat bermasligi kerak. OpenVPN 2.6 qo'llanmasi birinchi tekshiruvni skriptlanadigan qiladigan holat fayli va boshqaruv interfeysini hujjatlashtiradi.