OpenVPN vraćanje unatrag u zapisu: što redak ne dokazuje

Redak kaže PID_ERR replay-window backtrack occurred, a svi rezultati pretrage objašnjavaju ga kao izgubljene pakete i pokvaren tunel. U UDP putanji Community OpenVPN 2.6 ta se poruka zapisuje dok funkcija prijema još odlučuje što će s paketom. Ona bilježi novi maksimum vraćanja unatrag, a zatim ista funkcija upoređuje udaljenost s prozorom i zabilježenim stanjem prije nego što prihvati ili odbije. Čitanje oznake iz zapisa kao presude greška je koju ovaj kontrolni popis treba spriječiti.

Prvi korak: prepoznajte što je redak

To je dijagnostika o udaljenosti u nizu, a ne odluka o vezi. Pojavljuje se u implementaciji paketnog ID-a na mjestu gdje se bilježi novo zapaženi maksimum vraćanja unatrag. To mjesto leži prije grane za prihvatanje ili odbijanje, zato paket koji ga izazove ipak može biti dostavljen.

Potvrdite koji ga je host napisao i s koliko detalja. Server i klijent mogu oba slati poruke paketnog ID-a, a poruka s jedne strane ne govori ništa o stanju prijema na drugoj strani.

Drugi korak: pronađite ishod za taj paket

Čitajte retke poslije dijagnostike, a ne samo dijagnostiku. Ista funkcija nastavlja na provjere prozora i duplikata, pa se ishod za taj konkretni paket odlučuje nekoliko instrukcija kasnije i vrlo vjerojatno može biti prihvatanje. Izvod iz zapisa koji završava na zastrašujućem retku ne govori vam ništa o rezultatu. Pretražite prozor oko njega, a ne sam redak:

journalctl -u openvpn-server@server --since "-10 min" | grep -n -A3 -B3 "backtrack occurred"

Ako zapis ne pokazuje odbijanje za tog partnera u to vrijeme, prestanite ovaj redak smatrati uzrokom ispada. Prijeđite na putanju aplikacije, jer tu većina izvješća o povezanosti bez prometa zapravo završava.

Treći korak: odlučite je li preuređivanje stvarno

Preuređivanje je svojstvo puta, a jedna dijagnostika tek je jedan njegov uzorak. Tražite ponovljene poruke za istog partnera u kratkom prozoru i uporedite ih sa snimkom na oba kraja prije nego zaključite da mreža agresivno preuređuje.

Nekoliko poruka tijekom ponovnog povezivanja nije neobično. Neprekidan tok uz stvarne tajmaute aplikacije vrijedi istražiti, a ta kombinacija je dokaz, a ne oznaka.

Četvrti korak: parametri prozora i što oni nisu

replay-window prima veličinu niza i neobaveznu vremensku vrijednost, pa proširenje mijenja dvije različite tolerancije odjednom. Povećanje broja dopušta pakete koji su dalje izvan reda; vremenska vrijednost ograničava koliko dugo se paket još može razmatrati. Proširenje je promjena politike s cijenom po sigurnost i ne jača šifru niti isključuje otkrivanje duplikata. Dvije se tolerancije kreću zajedno, htjeli vi to ili ne.

Stari autentificirani paket može i dalje biti neželjeno ponavljanje, zato prijamnik drži ove provjere. Prihvatiti više preuređivanja znači prihvatiti više tog rizika.

Utišavanje upozorenja s mute mijenja ono što vidite, a ne ono što demon radi. Ako je cilj tiši zapis tijekom poznatog događaja, to je legitiman operativni izbor; ako je cilj popraviti tunel, utišavanje skriva dokaze.

mute 20
replay-window 64 15

Prebacivanje vanjskog prijenosa na TCP mijenja ponašanje dostave i oporavka i dodaje vlastite troškove blokiranja glave reda. To je dizajnerska odluka, a ne prvi odgovor na jednu oznaku iz zapisa. Ponovna instalacija servera je gora, jer briše razliku između statistike i granice koja je stvarno otkazala.

Peti korak: provjerite putanju do koje je korisniku stalo

S povezanim tunelom pokrenite vlastiti test aplikacije i pročitajte njezinu odabranu rutu, stanje prosljeđivanja i povratnu putanju. Tunel koji prenosi pakete samo u jednom smjeru uopće ne stvara poruke o vraćanju unatrag, a to je mnogo češće od ozbiljnog preuređivanja.

Zapišite što ste izmjerili na svakom koraku. Taj zapis je ono što sprječava sljedeće izvješće da opet počne od zastrašujućeg retka i radi prema van.

Implementacija paketnog ID-a pokazuje redoslijed statistike i odluke, a priručnik opisuje opseg niza i vremena prozora. Čitanje to dvoje zajedno pretvara zastrašujući redak zapisa u poznatu veličinu. Nijedno od njih ne govori ništa o vašoj konkretnoj putanji, zato su gornja mjerenja i dalje važna.