OpenVPN: bindi lleol yn methu wrth gychwyn — aros neu geisio eto

Cynigir dau ateb ar gyfer gweinydd OpenVPN nad yw'n cychwyn wrth gychwyn: aros am y cyfeiriad, neu adael i'r gwasanaeth geisio eto nes bod y rhwymiad yn llwyddo. Mae'r ddau yn mynd i'r afael â'r un symptom â'r modd y maent yn methu yn wahanol. Mae aros yn amgodio rhagofyn penodol ac yn syrthio'n uchel pan fydd ar goll; mae ceisio eto yn cuddio'r rhagofyn ac yn dal i geisio. Pa un sy'n perthyn i'ch uned chi sy'n dibynnu ar a yw'r cyfeiriad hwnnw'n ddibyniaeth a gynlluniwyd neu'n ddamwain amseru.

Mae'r ddau yn well na chwsg sefydlog, nad yw'n aros am unrhyw beth nac yn adrodd yr hyn yr oedd yn aros amdano.

Yr hyn y mae'r opsiwn local yn ei ofyn mewn gwirionedd

local yw enw'r cyfeiriad y mae'r daemon yn rhwymo ei soced iddo, ac mae rhwymo i gyfeiriad nad yw'n bodoli eto yn methu ar unwaith gyda gwall am y cyfeiriad a ofynnwyd. Pan fydd yr opsiwn yn absennol, mae'r daemon yn gwrando ar bob cyfeiriad, a dyna pam mae'r un proffil yn gweithio ar beiriant nad yw ei ryngwyneb wedi codi: mae'n gwrando ym mhobman yn lle ar yr un cyfeiriad a enwoch. Y gwahaniaeth hwnnw yw'r methiant cyfan, ac mae'n aros yn anweledig tan ailgychwyn.

Nid y gofyniad yw bod y rhyngwyneb i fyny mewn ystyr cyffredinol. Rhaid i'r cyfeiriad gael ei bennu i'r rhyngwyneb cywir ar foment y rhwymiad, a rhaid iddo fod y rhyngwyneb sylfaenol yn hytrach na thwnnel y byddai'r un daemon yn ei greu yn ddiweddarach. Nid yw archwiliad a wneir funudau ar ôl mewngofnodi yn profi dim am y dilyniant cychwyn.

Aros am y cyfeiriad neu geisio'r rhwymiad eto

Mae aros yn golygu ExecStartPre sy'n arolygu nes bod y cyfeiriad yn ymddangos, gyda nifer cyfyngedig o ymdrechion a gadael â chod nad yw'n sero pan ddaw'r amser i ben. Mae ceisio eto yn golygu gadael i'r prif broses fethu a gofyn i reolwr y gwasanaeth ei chychwyn eto, er enghraifft Restart=on-failure gyda RestartSec=5. Mae'r cyntaf yn adrodd rhagofyn coll fel uned wedi methu, tra mae'r ail yn ei adrodd fel cyfres o ailgychwyniadau sy'n dod i ben yn y diwedd, sy'n fwy swnllyd yn y cylchgrawn ond yn goroesi cyfeiriad sy'n cyrraedd yn hwyr am resymau na allwch eu rhagweld.

Ffefrir aros pan fo'r cyfeiriad yn ddibyniaeth a gynlluniwyd, a ffefrir ceisio eto pan fydd y cyfeiriad fel arfer yn ymddangos ond mae ei amseru'n amrywio. Mae cyfuno'r ddau yn rhesymol: mae aros cyfyngedig yn ymdrin â'r achos cyffredin ac mae polisi ailgychwyn yn ymdrin â'r eithriad. Ni ddylai'r naill na'r llall redeg am byth, oherwydd mae uned sy'n ceisio eto'n ddiderfyn yn cuddio camffurfiad yn lle ei adrodd.

Pam nad yw network-online.target yn ddigon

network-online.target yn addo'r hyn y mae'r gweithrediad rhwydwaith gweithredol yn ei olygu wrth ar-lein, a dim mwy. Gyda systemd-networkd, systemd-networkd-wait-online sy'n penderfynu pryd y cyrhaeddir y targed hwnnw, a gellir bodloni ei syniad diofyn o ar-lein cyn bod eich cyfeiriad penodol yn bodoli. O dan NetworkManager, mae'r gwasanaeth wait-online yn cymhwyso ei reolau ei hun. Mae trefnu ar ôl y targed yn llinell sylfaen gadarn, nid yn warant bod un cyfeiriad, ateb DNS neu bartner o bell yn barod.

Mae'r un rhesymeg yn diystyru'r dewisiadau arferol. Mae cofnod cychwyn awtomatig ar gyfer bwrdd gwaith yn aros am sesiwn defnyddiwr na fydd efallai byth yn agor ar weinydd, ac mae gorchymyn cron oedi yn ychwanegu amser a aeth heibio heb enwi'r adnodd yr oedd yn gobeithio ei weld yn ymddangos. Gall y ddau edrych yn llwyddiannus am fisoedd ac yna methu ar yr un cychwyn sy'n cyfrif.

Gwiriwch y rhwymiad ar ôl cychwyn oer

Gwiriwch gyda chychwyn oer go iawn yn hytrach nag ailgychwyn gwasanaeth, oherwydd mae ailgychwyn yn etifeddu cyfeiriad y bu'n rhaid i'r dilyniant cychwyn ei greu. Ar ôl cychwyn, mae ss -lntp neu ss -lunp yn dangos y cyfeiriad lleol y gwnaeth pob gwrandawr rwymo iddo mewn gwirionedd, ac mae journalctl -b -u openvpn-server@server yn dangos a fethodd yr ymdrech gyntaf. Cymharwch y cyfeiriad a rwymwyd â'r un yn y proffil, yna ailadroddwch y gymhariaeth ar ôl ailgysylltu â'r rhwydwaith.

Os nad oedd y proffil erioed wedi bod angen cyfeiriad sefydlog, mae tynnu local yn symleiddiad dilys, ond gwnewch hynny'n benderfyniad diogelwch yn hytrach nag yn arfer datrys problemau.

Mae lledu'r gwrandawr yn newid pwy all gyrraedd ato, felly cyfunwch y newid hwnnw â'r polisi mur tanio a ddylai fod wedi ei gyfyngu. Nid yw gwasanaeth sy'n cychwyn yn ddibynadwy ar bob rhyngwyneb wedi datrys y broblem wreiddiol; mae wedi symud y broblem i ymyl y rhwydwaith.