keepalive en OpenVPN aŭ restart en systemd: kio reakiras la tunelon?

Tri malsamaj aferoj povas misfunkcii ĉe tunelo, kaj ili postulas tri malsamajn reagojn. La kunulo ĉesas respondi, la demona procezo mortas, aŭ la aplikaĵo malantaŭ la tunelo ĉesas servi. Agordo, kiu restartigas la servon ĉe iu ajn el ili, ne estas zorgema superrigardo; ĝi estas unu maldelikata ago aplikata al nerilataj paneoj. Komparo de tio, kion ĉiu mekanismo povas fakte observi, faras la labordividon evidenta.

Tri paneoj, kiuj aspektas kiel unu

Silento de la kunulo signifas, ke la alia fino ĉesis sendi, kaj OpenVPN povas mem tion detekti, ĉar ĝi posedas la korbaton. Morto de la procezo signifas, ke la demono eliris, kion la servoadministranto rimarkas kaj OpenVPN ne povas. Aplikaĵa paneo signifas, ke la tunelo estas en ordo kaj io malantaŭ ĝi ne, kaj nek unu el la du aliaj mekanismoj havas rimedon por scii tion. Ĉiu bezonas malsaman reagon, kaj neniu el ili samas al rimarki, ke la tunelo funkcias.

Tiuj estas malsamaj signaloj el malsamaj tavoloj, kaj ĉiu havas posedanton, kiu povas agi laŭ ili sen konjekti. Miksi ilin produktas sistemon, kiu restartigas laŭ simptomoj, kiujn ĝi ne povas interpreti.

Skribu la tri kazojn antaŭ ol ŝanĝi iun ajn tempigilon. La listo mem kutime montras, ke oni petas unu mekanismon kovri ĉiujn tri.

Al kio keepalive efektive etendiĝas

La direktivo keepalive estas mallongigo, kaj la etendiĝo varias laŭ reĝimo. Sur servilo, keepalive 10 60 fariĝas loka ping ĉiun dek sekundojn, loka restartiga limtempo de 120 sekundoj kaj valoroj 10 kaj 60 plusendataj al klientoj. La limtempo de la servilo estas intence duobligita, por ke kliento havu ŝancon restartigi antaŭ ol la servilo rezignas. Legu la etenditan formon en la funkcianta agordo, ne la mallongigon en la profilo.

Tiu duobligo estas la kialo, kial ajna priskribo asertanta, ke ambaŭ finoj restartigas post sesdek sekundoj, estas malĝusta. Ĝi ankaŭ klarigas, kial la du finoj ne flirtas samtempe, kiam vojo difektiĝas.

La korbato estas kunula trafiko de OpenVPN, ne ICMP-sondo al iu publika gastiganto. Respondo pruvas nur, ke la malproksima fino de la tunelo vivas. Ĝi diras nenion pri la datumbazo aŭ retservo, kiun la uzanto fakte bezonas.

Kion Restart=on-failure ne observas

Legu la instalitan unuon antaŭ ol aldoni anstataŭigon. Restart=on-failure reagas al dokumentitaj procez-paneaj kondiĉoj, kio ne samas al observado de la konekta stato. Ĝi ne aktiviĝas ĉar interna rekonekto komenciĝis, kaj pura eliro havas alian signifon ol kraŝo.

Tiu distingo gravas, ĉar interna restartigo konservas la saman procezon viva. La unuo vidas nenion, la tunelo mem resaniĝas, kaj tio estas la ĝusta rezulto.

Agordu RestartSec kaj startigajn limojn intence, alie kraŝa buklo batos la enirejon kaj enterigos la veran eraron sub restartigaj mesaĝoj. Restartiga limo, kiu aktiviĝas, lasas la unuon en fiasko, kio estas videbla, dum senlima buklo ne estas.

ping-restart kaj ping-exit ne estas interŝanĝeblaj

ping-restart ekigas la internan restartigon de OpenVPN kaj konservas la procezon. ping-exit finas la procezon ĉe la sama speco de limtempo, kio transdonas la decidon al la servoadministranto. Ili reciproke ekskludas sin, kaj elekti la duan ŝanĝas, kiu posedas la reakiron. La diferenco estas, kiu decidas reprovi, kaj kiom da stato postvivas la provon.

Se vi elektas eliron ĉe limtempo, la unuo bezonas restartigan politikon kaj traktadon de elira statuso, kiuj kongruas, alie vivkapabla paneo aspektas kiel daŭra halto. Persistaj opcioj ankaŭ povas konservi interfacojn kaj itinerojn tra interna restartigo, sed ne tra proceza eliro.

Elektu unu vivciklon por deplojo kaj skribu kial. Profilo portanta ambaŭ direktivojn estas profilo, kiu ne decidis.

Testu ĉiun paneon kiel sian propran kazon

Simulu silentan kunulon, mortigitan demonon kaj neatingeblan aplikaĵon en aprobita fenestro, poste kontrolu, kiu reakiro aktiviĝis. Silenta kunulo devus produkti internan rekonekton, mortigita procezo unuan restartigon, kaj aplikaĵa ĉeso neniun el tiuj. Kiam du kazoj produktas la saman agon, la posedo ankoraŭ estas miksita.

Ripeta reakiro ankaŭ ne estas riparo. Rifuzitaj akreditaĵoj aŭ du klientoj kunhavantaj unu efikan nomon daŭre anstataŭigos unu la alian, kaj pli rapidaj tempigiloj nur rapidigas tiun flirtadon.