Zpětné sledování přehrávání v OpenVPN v záznamu: co řádek nedokazuje

Řádek říká PID_ERR replay-window backtrack occurred a všechny výsledky hledání to vysvětlují jako zahozené pakety a rozbitý tunel. V cestě UDP Community OpenVPN 2.6 se tato zpráva zapisuje, zatímco přijímací funkce stále rozhoduje, co s paketem udělat. Zaznamená nové maximum zpětného sledování a pak stejná funkce porovná vzdálenost s oknem a zaznamenaným stavem, než paket přijme nebo odmítne. Čtení štítku ze záznamu jako rozsudku je chyba, které má tento kontrolní seznam zabránit.

Zastavení první: určete, co řádek je

Je to diagnostika vzdálenosti v posloupnosti, ne rozhodnutí o spojení. Objevuje se v implementaci ID paketu v místě, kde se zaznamenává nově pozorované maximum zpětného sledování. Toto místo leží před větví přijetí nebo odmítnutí, a proto paket, který ho vyvolá, může být stále doručen.

Ověřte, který hostitel ho zapsal a s jakou podrobností. Server i klient mohou vydávat zprávy ID paketu a zpráva z jedné strany nic neříká o stavu příjmu na straně druhé.

Zastavení druhé: najděte výsledek pro tento paket

Čtěte řádky za diagnostikou, ne jen diagnostiku. Stejná funkce pokračuje ke kontrolám okna a duplikátů, takže výsledek pro tento konkrétní paket se rozhodne o několik instrukcí později a docela dobře může jít o přijetí. Výňatek ze záznamu, který končí na děsivém řádku, vám o výsledku neřekne nic. Prohledejte okno kolem něj, ne řádek samotný:

journalctl -u openvpn-server@server --since "-10 min" | grep -n -A3 -B3 "backtrack occurred"

Pokud záznam v tu dobu neukazuje pro tento protějšek žádné odmítnutí, přestaňte tento řádek považovat za příčinu výpadku. Přejděte na cestu aplikace, protože tam většina hlášení připojeno, ale bez provozu vlastně končí.

Zastavení třetí: rozhodněte, zda je přeuspořádání skutečné

Přeuspořádání je vlastnost cesty a jedna diagnostika je jediný jeho vzorek. Hledejte opakované zprávy pro stejný protějšek v krátkém okně a porovnejte je se zachycením na obou koncích, než usoudíte, že síť agresivně přeuspořádává.

Několik zpráv během opětovného připojení není nic zvláštního. Souvislý proud vedle skutečných časových limitů aplikace stojí za vyšetření a tato kombinace je důkaz, ne označení.

Zastavení čtvrté: parametry okna a co nejsou

replay-window bere velikost posloupnosti a volitelnou časovou hodnotu, takže rozšíření mění dvě různé tolerance najednou. Zvýšení čísla připouští pakety, které jsou dál mimo pořadí; časová hodnota omezuje, jak dlouho lze paket ještě uvažovat. Rozšíření je změna politiky s cenou za bezpečnost a neposiluje šifru ani nevypíná detekci duplikátů. Obě tolerance se pohybují společně, ať jste to zamýšleli, nebo ne.

Starý ověřený paket může být stále nežádoucí opakování, a proto přijímač tyto kontroly drží. Přijmout více přeuspořádání znamená přijmout více tohoto rizika.

Ztišení varování pomocí mute mění to, co vidíte, ne to, co démon dělá. Pokud je cílem tišší záznam během známé události, je to legitimní provozní volba; pokud je cílem opravit tunel, ztišení skrývá důkazy.

mute 20
replay-window 64 15

Přepnutí vnějšího přenosu na TCP mění chování doručování a obnovy a přidává vlastní náklady na blokování čela fronty. Je to designové rozhodnutí, ne první reakce na jeden štítek ze záznamu. Přeinstalace serveru je horší, protože maže rozdíl mezi statistikou a hranicí, která skutečně selhala.

Zastavení páté: otestujte cestu, na které uživateli záleží

S připojeným tunelem spusťte vlastní test aplikace a přečtěte si její zvolenou trasu, stav předávání a zpětnou cestu. Tunel, který přenáší pakety jen jedním směrem, nevytváří vůbec žádné zprávy o zpětném sledování, a to je mnohem běžnější než silné přeuspořádání.

Zapište, co jste na každém zastavení změřili. Právě záznam brání tomu, aby příští hlášení zase začalo u děsivého řádku a pracovalo odtud ven.

Implementace ID paketu ukazuje pořadí statistiky a rozhodnutí a manuál popisuje rozsah posloupnosti a času okna. Čtení obojího společně je to, co mění děsivý řádek záznamu v známou veličinu. Ani jedno z nich neříká nic o vaší konkrétní cestě, a proto výše uvedená měření stále mají význam.