OpenVPN-terugsporing in die logboek: wat die reël nie bewys nie

Die reël sê PID_ERR replay-window backtrack occurred, en die soekresultate verduidelik dit almal as weggegooide pakkette en 'n stukkende tonnel. In die Community OpenVPN 2.6 UDP-pad word daardie boodskap geskryf terwyl die ontvangfunksie nog besluit wat om met die pakket te doen. Dit teken 'n nuwe maksimum terugsporing aan, en dan vergelyk dieselfde funksie die afstand met die venster en die aangetekende toestand voordat dit aanvaar of verwerp. Om die logboeketiket as die uitspraak te lees is die fout wat hierdie kontrolelys wil voorkom.

Stop een: identifiseer wat die reël is

Dit is 'n diagnostiese boodskap oor volgorde-afstand, nie 'n besluit oor 'n verbinding nie. Dit verskyn in die pakket-ID-implementering op die punt waar 'n nuut waargeneemde maksimum terugsporing aangeteken word. Daardie punt lê voor die aanvaar-of-verwerp-tak, en daarom kan 'n pakket wat dit veroorsaak steeds afgelewer word.

Bevestig watter gasheer dit geskryf het en met watter breedsprakigheid. 'n Bediener en 'n kliënt kan albei pakket-ID-boodskappe uitstuur, en 'n boodskap van een kant sê niks oor die ander kant se ontvangtoestand nie.

Stop twee: vind die uitkoms vir daardie pakket

Lees die reëls ná die diagnostiese boodskap eerder as net die boodskap. Dieselfde funksie gaan voort na sy venster- en duplikaatkontroles, so die uitkoms vir daardie spesifieke pakket word 'n paar instruksies later beslis en kan heel moontlik aanvaarding wees. 'n Logfragment wat by die skrikwekkende reël eindig, sê niks oor die resultaat nie. Soek 'n venster rondom dit, nie die reël self nie:

journalctl -u openvpn-server@server --since "-10 min" | grep -n -A3 -B3 "backtrack occurred"

As die log geen verwerping vir daardie eweknie op daardie tydstip toon nie, hou op om hierdie reël as die oorsaak van die onderbreking te beskou. Gaan voort na die toepassingspad, want dit is waar die meeste verslae van verbind maar geen verkeer werklik eindig.

Stop drie: besluit of herordening werklik is

Herordening is 'n eienskap van die pad, en een diagnostiese boodskap is 'n enkele voorbeeld daarvan. Soek herhaalde boodskappe vir dieselfde eweknie oor 'n kort venster, en vergelyk met 'n opname aan beide kante voordat jy aflei dat die netwerk aggressief herorden.

'n Paar boodskappe tydens 'n herverbinding is onopvallend. 'n Deurlopende stroom saam met werklike toepassingstydverstrekings is die moeite werd om te ondersoek, en daardie kombinasie is bewyse eerder as 'n etiket.

Stop vier: die vensterparameters, en wat hulle nie is nie

replay-window neem 'n volgordegrootte en 'n opsionele tydwaarde, so om dit te verbreed verander twee verskillende toleransies tegelyk. Om die getal te verhoog laat pakkette toe wat verder buite volgorde is; die tydwaarde beperk hoe lank 'n pakket nog oorweeg mag word. Verbreding is 'n beleidsverandering met 'n sekuriteitskoste, en dit versterk nie 'n syfer nie en skakel nie duplikaatopsporing af nie. Die twee toleransies beweeg saam, of jy dit bedoel het of nie.

'n Ou geauthentiseerde pakket kan steeds 'n ongewenste herhaling wees, en daarom hou die ontvanger hierdie kontroles. Om meer herordening te aanvaar beteken om meer van daardie risiko te aanvaar.

Om die waarskuwing met mute te demp verander wat jy sien, nie wat die daemon doen nie. As die doel 'n stiller log tydens 'n bekende gebeurtenis is, is dit 'n wettige operasionele keuse; as die doel is om 'n tonnel reg te maak, verberg demping die bewyse.

mute 20
replay-window 64 15

Om die buitenste vervoer na TCP te skakel verander aflewerings- en herstelgedrag en voeg sy eie koste vir die hoof van die tou by. Dit is 'n ontwerpbesluit, nie 'n eerste reaksie op een logboeketiket nie. Om die bediener weer te installeer is erger, want dit wis die onderskeid tussen 'n statistiek en die grens wat werklik gefaal het.

Stop vyf: toets die pad wat die gebruiker saak maak

Met die tonnel verbind, hardloop die toepassing se eie toets en lees sy gekose roete, deurstuurtoestand en terugpad. 'n Tonnel wat pakkette net in een rigting dra, produseer glad geen terugsporingsboodskappe nie, en dit is baie algemener as ernstige herordening.

Skryf neer wat jy by elke stop gemeet het. Die rekord is wat keer dat die volgende verslag weer by die skrikwekkende reël begin en van daar af uitwerk.

Die pakket-ID-implementering wys die volgorde van die statistiek en die besluit, en die handleiding beskryf die venster se volgorde- en tydsomvang. Om daardie twee saam te lees is wat 'n skrikwekkende logreël in 'n bekende grootheid verander. Nie een van hulle sê iets oor jou spesifieke pad nie, en daarom bly die metings hierbo belangrik.