Ailgysylltu cleient OpenVPN: tri rheolydd, tri chwmpas

Mae rhywun yn gofyn i’r cleient VPN gael ei ailgysylltu, a gall y cais olygu tri pheth gwahanol. Gall olygu gollwng un sesiwn wedi’i dilysu, dweud wrth bob cleient bod gweinydd UDP yn mynd i ffwrdd, neu ailgychwyn y daemon ei hun. Mae gan bob un radiws effaith gwahanol, a bydd dewis yr un anghywir yn troi atgyweiriad i un defnyddiwr yn ddiffyg gwasanaeth. Y cwmpas yw’r penderfyniad, a’r gorchymyn sy’n dilyn ohono.

Gofynnwch pwy ddylai gael ei effeithio cyn gofyn pa reolydd i’w ddefnyddio.

Un enghraifft: y rhyngwyneb rheoli

Gall rhyngwyneb rheoli wedi’i ffurfweddu restru enghreifftiau cysylltiedig a gollwng un ohonynt yn union. Mae pob sesiwn yn cario dynodydd cleient, ac mae client-kill CID yn targedu’r dynodydd hwnnw yn hytrach nag enw cyffredin. Darllenwch y dynodydd byw o allbwn statws cyfredol, oherwydd mae gwerth a gopïwyd o log hŷn yn cyfeirio at sesiwn nad yw’n bodoli mwyach. Mae gollwng yr enghraifft yn diweddu’r cysylltiad hwnnw a dim arall.

Nid yw’n gwarantu cysylltiad newydd. Mae a ddaw’r cleient yn ôl yn dibynnu ar ei osodiadau ceisio eto, ei gofnodion o bell sy’n weddill, ei ofynion dilysu, ac a yw’r rhaglen oruchwylio yn dal i redeg. Mae cleient sy’n dychwelyd yn cael dynodydd newydd, a dyna pam mai cymharu dynodyddion yw’r unig ffordd ddibynadwy i wahaniaethu hen oddi wrth newydd.

Nid yw hysbysiad gadael UDP yn orchymyn fesul cleient

explicit-exit-notify yn gyfarwyddeb ffurfweddu am ddigwyddiadau gadael ac ailgychwyn. Ar gleient UDP mae’n dweud wrth y partner fod y sesiwn yn dod i ben, ac mae’r dadl rifol yn rheoli sawl gwaith y ceisir yr hysbysiad eto. Pan fydd y gweinydd yn rhedeg dros UDP mae’n anfon neges reoli ailgychwyn at ei gleientiaid cysylltiedig, ac mae’r gwerthoedd dogfennol yn gwahaniaethu ailgysylltu â’r un gweinydd oddi wrth symud i gofnod o bell arall. Mae hynny’n signal cylch bywyd gyda chynulleidfa eang.

Nid oes dim ynddo yn dewis cleient mympwyol ar foment fympwyol. Mae trin hyn fel botwm ailgysylltu yn cyrraedd pob sesiwn gysylltiedig ar unwaith.

Mae signalau’n gweithredu ar y broses, nid ar sesiwn

SIGUSR1 yn gofyn i broses sy’n rhedeg ailgychwyn ei chysylltiad heb ailddarllen y ffurfwedd, ac mae yr opsiynau parhad yn penderfynu beth sy’n goroesi’r ailgychwyn hwnnw. SIGHUP yn mynd ymhellach: mae’n ailddarllen y ffeil ffurfweddu ac yn ailagor ei adnoddau. SIGTERM a SIGINT yn gofyn am gau i lawr yn drefnus. Gweithrediadau lefel proses yw’r rhain: ar weinydd aml-gleient maent yn effeithio ar bob sesiwn y mae’r broses yn ei chario, nid yr un a enwir yn y tocyn.

Pan fydd y broses yn rhedeg o dan reolwr gwasanaeth, defnyddiwch reolaeth y rheolwr ei hun yn hytrach na signalau PID a gawsoch mewn rhestr prosesau. Darllenwch yr uned i weld pa signal y mae’r rheolwr yn ei anfon, oherwydd mae ailgychwyn ac ail-lwytho yn gwneud pethau gwahanol i’r un daemon.

Penderfynwch ar y cwmpas cyn dewis y rheolydd

Mae tri chwestiwn yn setlo hyn. Pwy ddylai gael ei effeithio: un defnyddiwr, pob cleient un gweinydd, neu’r daemon a phopeth y mae’n ei gario. Beth ddylai oroesi: y ffurfwedd, cyflwr y tiwnel, neu’r un na’r llall. Pwy sydd ag awdurdod i’w wneud: y gyfuniad rheoli, perchennog y gwasanaeth, neu’r gweithredwr rhwydwaith sy’n rheoli’r hysbysiad gadael. Atebwch y rheini a dim ond un rheolydd sy’n addas.

Mae ychwanegu gwrandäwr rheoli heb ddilysu i gael botwm ailgysylltu yn rhoi llawer mwy na’r botwm hwnnw i bwy bynnag all gyrraedd y porth.

Gwiriwch y sesiwn newydd, nid y datgysylltiad

Mae digwyddiad datgysylltu yn profi bod yr hen sesiwn wedi dod i ben. Nid yw’n dweud dim am sesiwn newydd yn dilysu, yn derbyn cyfeiriad, yn gosod llwybrau, neu’n cyrraedd yr adnodd yr oedd ei angen ar y defnyddiwr. Gwiriwch y dynodydd newydd, yna cyflwr y tiwnel, yna un adnodd go iawn. Y tri cham hynny yw’r gwahaniaeth rhwng ailgysylltu a chysylltiad sy’n gweithio.

Ysgrifennwch y cwmpas yn y cofnod newid. Nid yw ‘Ailgysylltu’r cleient’ yn ddisgrifiad pan oedd y cleient yn un o bedwar deg ar weinydd a rennir.