OpenVPN-də jurnalda geri qayıtma: sətrin nəyi sübut etmədiyi

Sətir PID_ERR replay-window backtrack occurred deyir və axtarış nəticələrinin hamısı bunu atılmış paketlər və pozulmuş tunel kimi izah edir. Community OpenVPN 2.6 UDP yolunda bu mesaj qəbul funksiyası hələ paketlə nə edəcəyini qərarlaşdırarkən yazılır. O, yeni maksimal geri qayıtmanı qeyd edir, sonra həmin funksiya məsafəni pəncərə və qeydə alınmış vəziyyətlə müqayisə edir və bundan sonra qəbul və ya rədd edir. Jurnal etiketini hökm kimi oxumaq bu yoxlama siyahısının qarşısını almaq istədiyi səhvdir.

Birinci dayanacaq: sətrin nə olduğunu müəyyənləşdirin

Bu, ardıcıllıq məsafəsi haqqında diaqnostikdir, əlaqə haqqında qərar deyil. O, paket-ID tətbiqində yeni müşahidə olunan maksimal geri qayıtmanın qeyd edildiyi nöqtədə görünür. Həmin nöqtə qəbul və ya rədd budağından əvvəl yerləşir, buna görə də onu törədən paket yenə də çatdırıla bilər.

Onu hansı hostun və hansı detallılıq səviyyəsində yazdığını təsdiqləyin. Server və klient paket-ID mesajlarını birlikdə yaya bilər və bir tərəfin mesajı digər tərəfin qəbul vəziyyəti haqqında heç nə demir.

İkinci dayanacaq: həmin paketin nəticəsini tapın

Diaqnostikanın özündən çox ondan sonrakı sətirləri oxuyun. Eyni funksiya pəncərə və dublikat yoxlamalarına davam edir, buna görə həmin paketin nəticəsi bir neçə təlimat sonra həll olunur və çox güman ki, qəbul olur. Qorxulu sətirdə bitən jurnal parçası nəticə haqqında sizə heç nə demir. Sətrin özünü deyil, onun ətrafındakı pəncərəni grep edin:

journalctl -u openvpn-server@server --since "-10 min" | grep -n -A3 -B3 "backtrack occurred"

Əgər jurnal həmin vaxt həmin peer üçün heç bir rədd göstərmirsə, bu sətri kəsintinin səbəbi kimi qəbul etməyi dayandırın. Tətbiq yoluna keçin, çünki qoşulub, amma trafik yoxdur hesabatlarının çoxu əslində orada bitir.

Üçüncü dayanacaq: yenidən sıralamanın real olub-olmadığını qərar verin

Yenidən sıralama yolun xassəsidir və bir diaqnostik onun tək nümunəsidir. Qısa pəncərə ərzində eyni peer üçün təkrar mesajlar axtarın və şəbəkənin aqressiv şəkildə yenidən sıraladığı qənaətinə gəlməzdən əvvəl hər iki ucdakı tutuşla müqayisə edin.

Yenidən qoşulma zamanı bir neçə mesaj diqqətçəkən deyil. Real tətbiq taymautları ilə yanaşı davamlı axın araşdırmağa dəyər və bu kombinasiya etiket deyil, sübutdur.

Dördüncü dayanacaq: pəncərə parametrləri və onların nə olmadığı

replay-window ardıcıllıq ölçüsü və isteğe bağlı vaxt dəyəri alır, ona görə onu genişləndirmək eyni anda iki fərqli tolerantlığı dəyişir. Rəqəmi artırmaq daha çox sıradan çıxmış paketlərə yol verir; vaxt dəyəri isə paketin nə qədər müddət nəzərə alına biləcəyini məhdudlaşdırır. Genişləndirmə təhlükəsizlik xərci olan siyasət dəyişikliyidir və o, nə şifrəni gücləndirir, nə də dublikat aşkarlanmasını söndürür. İki tolerantlıq birlikdə hərəkət edir, istəsəniz də, istəməsəniz də.

Köhnə autentifikasiya olunmuş paket yenə də arzuolunmaz təkrar ola bilər, buna görə qəbul edən bu yoxlamaları saxlayır. Daha çox yenidən sıralamanı qəbul etmək həmin riskdən daha çoxunu qəbul etmək deməkdir.

mute ilə xəbərdarlığı səssizləşdirmək gördüyünüzü dəyişir, daemonun etdiyini yox. Məqsəd məlum hadisə zamanı daha sakit jurnaldırsa, bu qanuni əməliyyat seçimidir; məqsəd tuneli düzəltməkdirsə, səssizləşdirmə sübutu gizlədir.

mute 20
replay-window 64 15

Xarici nəqliyyatı TCP-yə keçirmək çatdırılma və bərpa davranışını dəyişir və öz növbə başlığı xərclərini əlavə edir. Bu, dizayn qərarıdır, bir jurnal etiketinə ilk cavab deyil. Serveri yenidən quraşdırmaq daha pisdir, çünki bu, statistika ilə həqiqətən uğursuz olan sərhəd arasındakı fərqi silir.

Beşinci dayanacaq: istifadəçinin əhəmiyyət verdiyi yolu yoxlayın

Tunel qoşulmuş halda tətbiqin öz testini işə salın və onun seçilmiş marşrutunu, yönləndirmə vəziyyətini və geri dönüş yolunu oxuyun. Paketləri yalnız bir istiqamətdə daşıyan tunel ümumiyyətlə heç bir geri qayıtma mesajı yaratmır və bu, ağır yenidən sıralamadan qat-qat çox yayılmışdır.

Hər dayanacaqda nə ölçdüyünüzü yazın. Qeyd, növbəti hesabatın yenidən qorxulu sətirdən başlayıb oradan xaricə doğru işləməsinin qarşısını alan şeydir.

Paket-ID tətbiqi statistikanın və qərarın sırasını göstərir, təlimat isə pəncərənin ardıcıllıq və vaxt əhatəsini təsvir edir. Bu ikisini birlikdə oxumaq qorxulu jurnal sətrini məlum kəmiyyətə çevirən şeydir. Heç biri sizin konkret yolunuz haqqında heç nə demir, buna görə yuxarıdakı ölçmələr hələ də vacibdir.