Gollwng OpenVPN bob awr: ailnegodi neu ailgysylltu go iawn?

Chwe deg munud, neu dri deg, neu gant ac ugain: mae gollwng sy’n glanio ar gyfyngau crwn bron byth yn rhwydwaith. OpenVPN yn adnewyddu’r deunydd allweddol sy’n diogelu’r sianel ddata ar amserydd, ac mae amserydd byrrach na’r un a dybiasoch yn edrych yn union fel cyswllt sy’n methu dro ar ôl tro. Mae defnyddwyr yn adrodd am gysylltiad wedi torri tra bod y log yn adrodd am gyfnewid allweddi llwyddiannus. Mae’r llawlyfr isod yn gwahanu’r adnewyddiad hwnnw oddi wrth ailgychwyn go iawn, yn darllen y gwerth sydd mewn grym mewn gwirionedd, ac yn ei newid dim ond ar ôl i’r gost fod ar y bwrdd.

Gweithiwch y camau yn eu trefn, oherwydd mae’r cyntaf yn penderfynu a yw gweddill y dudalen yn berthnasol i chi o gwbl. Neidiwch ymlaen a byddwch yn treulio noson yn tiwnio amserydd ar gyfer nam nad oes ganddo ddim i’w wneud ag ef.

Gwahaniaethwch ailosodiad meddal oddi wrth ailgychwyn

Y llinell log yw’r holl ddiagnosis. Mae ailnegodi yn ysgrifennu ailosodiad meddal ac yna cyfnewid allweddi newydd o fewn yr un twnnel: mae’r rhyngwyneb yn cadw ei gyfeiriad, nid yw llwybrau yn cael eu hychwanegu eto, ac mae sesiynau TCP sefydledig fel arfer yn goroesi gyda saib. Mae ailgychwyn go iawn yn rhwygo’r sesiwn, yn ailadeiladu’r rhyngwyneb, efallai yn rhoi cyfeiriad cleient gwahanol, ac yn lladd pob cysylltiad hirhoedlog. Mae’r ddau ddigwyddiad yn gyffredin; dim ond un ohonynt sy’n esbonio galwad sydd wedi’i thorri.

journalctl -u openvpn-client@office -b --no-pager | grep -nE 'soft reset|Connection reset|reneg|TLS Error'
openvpn --version | head -n 1

Mae’r llinell fersiwn yn bwysig oherwydd mae geiriad y log yn symud rhwng rhyddhau, a gall neges y cofiwch o 2.3 fod wedi’i geirio’n wahanol yn 2.6. Darllenwch eich log eich hun yn hytrach na dyfyniad fforwm gan rywun arall. Dyfynnwch y llinell union pan ofynnwch am help, oherwydd mae aralleiriad yn colli’r manylyn sy’n nodi’r digwyddiad. Os yw cyfeiriad y rhyngwyneb heb newid ar draws y digwyddiad ac mae’r rhestr sesiynau yn goroesi, rydych yn edrych ar adnewyddiad ac mae’r adrannau sy’n weddill yn berthnasol.

Darllenwch yr amserydd effeithiol, nid eich ffeil

reneg-sec yw nifer yr eiliadau rhwng ailnegodiadau’r sianel ddata ac mae ei ragosodiad yn 3600. Mae gan bob cymar ei werth ei hun, a’r lleiaf o’r ddau sy’n sbarduno’r adnewyddiad mewn gwirionedd. Mae’r un rheol honno’n esbonio’r rhan fwyaf o’r adroddiadau: mae proffil cleient sy’n gosod rhif mawr yn dal i ailosod bob awr tra bod y gweinydd yn cadw’r rhagosodiad.

grep -Rn --include='*.conf' -E 'reneg-sec|reneg-bytes' /etc/openvpn
# server side, including included files
grep -Rn -E '^reneg-sec' /etc/openvpn/server/

Darllenwch gyfluniad effeithiol y gweinydd hefyd, gan gynnwys unrhyw beth y mae’n ei wthio, cyn dod i gasgliad o ffeil y cleient. Yna codwch y manylder a gwyliwch un cyfnod o’r dechrau i’r diwedd: mae lefel 3 eisoes yn dangos llinellau ailnegodi, ac mae’r stampiau amser yn dweud wrthych a yw’r digwyddiad yn ailadrodd bob 3600 eiliad neu’n dilyn gweithgarwch yn lle hynny.

Newidiwch ef lle mae mewn gwirionedd yn cael ei wthio

Un llinell yn y proffil cleient yw’r feddyginiaeth sy’n cylchredeg, a dyma’r lle anghywir tua hanner y tro. Oherwydd mai gwerth isaf y cymar sy’n ennill, gall cleient sy’n gosod yr amserydd i sero gael ei ailnegodi gan weinydd na wnaeth newid.

# on both ends, or on the side that owns the pushed configuration
reneg-sec 0

Pan fydd proffiliau’n cael eu cynhyrchu’n ganolog, golygwch y templed yn hytrach na’r copi a gyflwynwyd, neu bydd y rhediad darparu nesaf yn adfer y gwerth y gwnaethoch ei dynnu. Gwiriwch trwy wylio dau gyfnod, nid un: mae un awr dawel yn gyson ag amserydd a osodwyd i 7200.

Penderfynwch hefyd beth sy’n digwydd mewn defnydd cymysg. Mae cyflwyno’r newid i gleientiaid yn gyntaf yn gadael ffenestr lle mae’r gweinydd yn dal i sbarduno’r adnewyddiad, sy’n ddiniwed ond yn ddryslyd os ydych yn gwylio’r logiau am gadarnhad. Newidiwch yr ochr sy’n dal y gwerth llai yn gyntaf a bydd y symptom yn diflannu ar y pwynt rydych yn ei ddisgwyl.

Beth rydych yn ei ildio wrth analluogi ailnegodi

Mae ailnegodi rheolaidd yn cyfyngu ar ba mor hir y mae un set o allweddi sianel ddata yn diogelu traffig. Nid yw diffodd yr amserydd yn torri’r twnnel, ac ar router cartref neu giât swyddfa fach mae’r amlygiad ymarferol yn fach. Mae’n dal yn fasnach, ac mae’n werth ei nodi cyn i chi ei gwneud. Yr hyn sy’n newid yw pa mor hir y mae un set allweddi yn diogelu sesiwn, nid a yw’r twnnel yn gweithio o gwbl.

Yr achos rhesymol dros ei analluogi yw ailosodiad sy’n torri rhywbeth na ellir ei ailddechrau: galwad sy’n gollwng, sesiwn penbwrdd o bell y mae’n rhaid ei hailsefydlu, copi wrth gefn sy’n ailgychwyn o’r dechrau. Os yw’r saib yn anweledig i ddefnyddwyr, nid yw cadw’r rhagosodiad yn costio dim ac mae’n cadw’r cylchdro allweddi a gawsoch.

Mae’n well trwsio’r achos pan fydd y patrwm yn caniatáu hynny. Mae adnewyddiad sy’n methu hanner ffordd tra bod yr ysgwyd llaw cyntaf wedi llwyddo yn cyfeirio at y llwybr yn hytrach na’r amserydd: chwiliwch am broblem maint pecyn yn y cyfnewid sianel reoli mwy, wal dân â chyflwr sy’n gollwng y llif, neu gynnig sy’n llwyddo dim ond ar yr ymgais gyntaf. Mae pob un ohonynt yn gadael ôl yn yr un log a ddarllenwyd gennych gynnau. Mae diffodd yr amserydd yn cuddio’r dystiolaeth honno.

Pan fydd y cyfnod yn pwyntio i rywle arall

Mae dau gymydog yn y cyfluniad yn cynhyrchu symptomau tebyg a thrwsiadau gwahanol. Mae ping-restart yn ailgychwyn y twnnel pan na fydd dim yn cyrraedd am gyfnod a ffurfiwyd, tra bod ping-exit yn dod â’r cleient i lawr yn gyfan gwbl. Mae gollwng segur heb unrhyw ailnegodi yn unman yn y log yn perthyn i’r rhain, neu i ddyfais NAT a ddaeth â’r mapio UDP i ben ar ei hamserlen ei hun.

Mae routeri defnyddwyr, hotspotiau symudol a NAT gradd cludwyr i gyd yn dod â sesiynau UDP segur i ben heb ddweud wrth neb. Mae’r methiant hwnnw’n dilyn segurdod yn hytrach na’r cloc, a dyna’r arwydd: nid yw sesiwn sy’n gollwng ar ôl deg munud tawel ac yn goroesi awr o draffig cyson yn ailnegodi.

Ysgrifennwch dri pheth cyn newid pedwerydd: y cyfnod a fesuroch, y gwerth effeithiol a ganfuoch, a’r gorchymyn a’i dangosodd. Os yw’r cyfnod yn symud pan fydd yr amserydd yn symud, mae’r mecanwaith wedi’i nodi a’r trwsiad yw penderfyniad am y fasnach uchod. Os nad yw’n symud, rhowch y gosodiad yn ôl a pharhewch i edrych ar keepalives, cyflwr NAT a cholli pecynnau.