Адкат паўтору OpenVPN у журнале: што радок не даказвае

У радку сказана PID_ERR replay-window backtrack occurred, і ўсе вынікі пошуку тлумачаць гэта як скінутыя пакеты і зламаны тунель. У шляху UDP Community OpenVPN 2.6 гэта паведамленне запісваецца, пакуль функцыя прыёму яшчэ вырашае, што рабіць з пакетам. Яна фіксуе новы максімум адкату, а затым тая ж функцыя параўноўвае адлегласць з акном і запісаным станам, перш чым прыняць або адхіліць. Чытанне меткі журнала як вердыкту — гэта памылка, якую гэты кантрольны спіс існуе прадухіліць.

Прыпынак першы: вызначце, што гэта за радок

Гэта дыягностыка пра адлегласць паслядоўнасці, а не рашэнне пра злучэнне. Яна з'яўляецца ў рэалізацыі ідэнтыфікатара пакетаў у моманце, калі адзначаецца нядаўна заўважаны максімум адкату. Гэты момант знаходзіцца перад галіной прыняцця або адхілення, таму пакет, які яго выклікае, усё яшчэ можа быць дастаўлены.

Пацвердзіце, які хост запісаў яго і з якой падрабязнасцю. Сервер і кліент могуць абодва выдаваць паведамленні ідэнтыфікатара пакетаў, і паведамленне з аднаго боку нічога не кажа пра стан прыёму іншага боку.

Прыпынак другі: знайдзіце вынік для гэтага пакета

Чытайце радкі пасля дыягностыкі, а не толькі саму дыягностыку. Тая ж функцыя пераходзіць да праверак акна і дублікатаў, таму вынік для гэтага канкрэтнага пакета вызначаецца некалькімі інструкцыямі пазней і цалкам можа быць прыняццем. Урывак журнала, які заканчваецца на страшным радку, нічога не кажа пра вынік. Шукайце акно вакол яго, а не сам радок:

journalctl -u openvpn-server@server --since "-10 min" | grep -n -A3 -B3 "backtrack occurred"

Калі журнал не паказвае адхілення для гэтага аднагодка ў той час, перастаньце лічыць гэты радок прычынай збою. Пераходзьце да шляху праграмы, бо менавіта там большасць справаздач падключана, але трафіку няма фактычна заканчваецца.

Прыпынак трэці: вырашыце, ці пераўпарадкаванне рэальнае

Пераўпарадкаванне — гэта ўласцівасць шляху, і адна дыягностыка — адзін яго ўзор. Шукайце паўтораныя паведамленні для таго ж аднагодка за кароткае акно і параўнайце з захопам на абодвух канцах, перш чым рабіць выснову, што сетка агрэсіўна пераўпарадкоўвае.

Некалькі паведамленняў падчас перападключэння — гэта звычайна. Бесперапынны паток разам з рэальнымі тайм-аўтамі праграмы варта даследаваць, і гэтая камбінацыя — доказ, а не ярлык.

Прыпынак чацвёрты: параметры акна і тым, чым яны не з'яўляюцца

replay-window прымае памер паслядоўнасці і неабавязковы час, таму пашырэнне змяняе дзве розныя дапушчальнасці адначасова. Павелічэнне ліку дапускае пакеты, якія яшчэ далей ад парадку; значэнне часу абмяжоўвае, як доўга пакет можа яшчэ разглядацца. Пашырэнне — гэта змена палітыкі з пагрозай для бяспекі, і яно не ўзмацняе шыфр і не адключае выяўленне дублікатаў. Дзве дапушчальнасці рухаюцца разам, незалежна ад таго, ці вы гэтага хацелі.

Стары аўтэнтыфікаваны пакет можа быць непажаданым паўторам, таму атрымальнік трымае гэтыя праверкі. Прымаць больш пераўпарадкавання — значыць прымаць больш гэтай рызыкі.

Заглушэнне папярэджання праз mute змяняе тое, што вы бачыце, а не тое, што робіць дэман. Калі мэта — цішэйшы журнал падчас вядомага падзеі, гэта законны аперацыйны выбар; калі мэта — палагодзіць тунель, заглушэнне хавае доказы.

mute 20
replay-window 64 15

Пераключэнне знешняга транспарту на TCP змяняе паводзіны дастаўкі і аднаўлення і дадае ўласныя выдаткі на блакіроўку галавы чаргі. Гэта праектнае рашэнне, а не першая рэакцыя на адну метку журнала. Пераўсталяванне сервера горш, бо яно сцірае розніцу паміж статыстыкай і мяжой, якая фактычна адмовіла.

Прыпынак пяты: праверце шлях, які важны карыстальніку

Пры падключаным тунелі запусціце ўласны тэст праграмы і прачытайце яе выбраны маршрут, стан перасылкі і зваротны шлях. Тунель, які пераносіць пакеты толькі ў адным напрамку, зусім не стварае паведамленняў пра адкат, і гэта значна часцей, чым моцнае пераўпарадкаванне.

Запішыце, што вы вымералі на кожным прыпынку. Менавіта запіс не дае наступнай справаздачы зноў пачаць са страшнага радка і разгортвацца ад яго вонкі.

Рэалізацыя ідэнтыфікатара пакетаў паказвае парадак статыстыкі і рашэння, а дапаможнік апісвае абсяг паслядоўнасці і часу акна. Чытанне гэтых двух разам — гэта тое, што ператварае страшны радок журнала ў вядомую велічыню. Ніводнае з іх нічога не кажа пра ваш канкрэтны шлях, таму вымярэнні вышэй застаюцца важнымі.