Giám sát VPN của router mà không tin vào một đèn trạng thái

Trang trạng thái báo đã kết nối, đèn màu xanh, nhưng văn phòng không tới được máy chủ tệp. Một trong những dữ kiện đó nói về đường hầm, cái còn lại nói về đường đi bên trong nó. Giám sát cả hai là khác biệt giữa một cảnh báo có thể hành động và một cảnh báo bạn học cách bỏ qua.

Năm bước kiểm tra, theo thứ tự, từ peer ra ngoài.

Kiểm tra 1: trạng thái peer hoặc liên kết

Mỗi giao thức phơi bày trạng thái riêng. WireGuard hiển thị lần bắt tay gần nhất và bộ đếm truyền tải cho từng peer qua wg show. OpenVPN ghi trạng thái phiên vào tệp trạng thái hoặc giao diện quản lý, còn IPsec phơi bày các liên kết bảo mật qua các công cụ như ipsec statusall. Cái bẫy là đọc dấu thời gian như một phán quyết: một peer WireGuard nhàn rỗi không có gì để gửi sẽ không bắt tay gần đây, và đó không phải sự cố.

So sánh dấu thời gian với lưu lượng mong đợi và cài đặt keepalive trước khi gọi ai đó.

Kiểm tra 2: tuyến đã chọn

Một giao diện đường hầm có thể tồn tại trong khi không có gì định tuyến vào nó. Kiểm tra bảng chuyển tiếp cho đích bạn quan tâm, không phải cho mạng con của chính đường hầm. Nếu thiếu tiền tố hoặc trỏ đi nơi khác, trạng thái peer không còn liên quan.

Bước kiểm tra đó bắt được lỗi mà đèn trạng thái không bao giờ hiển thị.

Một bước kiểm tra thứ hai hữu ích cũng so sánh địa chỉ nguồn. ip route get 10.20.5.10 trả về chặng kế tiếp, giao diện và nguồn ưu tiên, và một nguồn sai là đủ để phá lưu lượng quay về ở đầu xa. Ghi lại bộ ba mong đợi một lần, rồi báo động khi bất kỳ thành phần nào thay đổi. Chỉ một dòng đó bắt được thay đổi NAT, dao động giao diện và lỗi định tuyến theo chính sách.

Kiểm tra 3: đường ứng dụng được phép

Thử một thứ đại diện cho yêu cầu thực tế. Ping khởi phát từ router đi ra từ địa chỉ và chính sách của chính router, có thể khác lưu lượng LAN được chuyển tiếp, và nhiều máy chủ giới hạn ICMP. Nếu yêu cầu là dịch vụ riêng, hãy thử dịch vụ đó trên cổng thật của nó.

Giữ khối lượng thử nghiệm khiêm tốn. Vòng giám sát không nên trở thành lưu lượng mà nó đo.

Kiểm tra 4: điều gì đã thay đổi và khi nào

Tương quan các thay đổi WAN, gia hạn khóa, thu hồi tuyến và lỗi ứng dụng trên một dòng thời gian. Phân biệt sự cố đường hầm với một tuyến dự phòng lặng lẽ khôi phục truy cập internet thông thường, vì cả hai đều tạo ra báo cáo người dùng giống nhau và chẩn đoán trái ngược. Lỗi múi giờ sẽ đảo thứ tự, nên chuẩn hóa trước khi so sánh. Dòng thời gian chính là thứ biến bốn bước kiểm tra thành nguyên nhân.

Lưu nhật ký cho các chuyển tiếp, không phải cho tải trọng.

Kiểm tra 5: cảnh báo phải nêu tên ranh giới

Một cảnh báo nói VPN sập gửi ai đó đến sai chỗ trong một nửa số lần. Một cảnh báo nói bắt tay của peer đã cũ mười hai phút, thiếu tuyến tới 10.20.0.0/16, hoặc phép thử tới cổng 445 thất bại, chỉ ra một bước kiểm tra cụ thể.

Giữ các bộ đếm vận hành thay vì duyệt tải trọng. Bộ đếm trả lời câu hỏi giám sát mà không thu thập nội dung bạn không cần.

Và để chính sách chuyển đổi quyết định điều gì xảy ra tiếp theo. Giám sát nên xác định ranh giới nào đã hỏng, không nên cho phép một lối vòng rộng mỗi khi một phép thử thất bại. Hướng dẫn OpenVPN 2.6 ghi lại tệp trạng thái và giao diện quản lý giúp bước kiểm tra đầu tiên có thể viết kịch bản.