OpenVPN-ripeta retroiro en la protokolo: kion la linio ne pruvas

La linio diras PID_ERR replay-window backtrack occurred, kaj ĉiuj serĉrezultoj klarigas ĝin kiel forĵetitajn pakaĵojn kaj rompitan tunelon. En la UDP-vojo de Community OpenVPN 2.6, tiu mesaĝo estas skribata dum la riceva funkcio ankoraŭ decidas, kion fari kun la pakaĵo. Ĝi registras novan maksimumon de retroiro, poste la sama funkcio komparas la distancon kun la fenestro kaj la registrita stato antaŭ ol akcepti aŭ malakcepti. Legi la protokolan etikedon kiel la verdikton estas la eraro, kiun ĉi tiu kontrol-listo ekzistas por malhelpi.

Halto unu: identigu, kio estas la linio

Ĝi estas diagnozo pri sekvencodistanco, ne decido pri konekto. Ĝi aperas en la pakaĵo-IDa efektivigo ĉe la punkto, kie oni notas nove observitan maksimumon de retroiro. Tiu punkto situas antaŭ la branĉo akcepti aŭ malakcepti, tial pakaĵo, kiu kaŭzas ĝin, ankoraŭ povas esti liverata.

Konfirmu, kiu gastiganto skribis ĝin kaj kun kia detalo. Servilo kaj kliento ambaŭ povas elsendi pakaĵo-IDajn mesaĝojn, kaj mesaĝo de unu flanko diras nenion pri la riceva stato de la alia.

Halto du: trovu la rezulton por tiu pakaĵo

Legu la liniojn post la diagnozo anstataŭ nur la diagnozon. La sama funkcio daŭras al siaj fenestra kaj duplikata kontroloj, do la rezulto por tiu specifa pakaĵo decidiĝas kelkajn instrukciojn poste kaj tre verŝajne povas esti akcepto. Protokola eltiraĵo, kiu finiĝas ĉe la timiga linio, diras al vi nenion pri la rezulto. Serĉu fenestron ĉirkaŭ ĝi, ne la linion mem:

journalctl -u openvpn-server@server --since "-10 min" | grep -n -A3 -B3 "backtrack occurred"

Se la protokolo montras neniun malakcepton por tiu samtavolano tiutempe, ĉesu trakti ĉi tiun linion kiel kaŭzon de la interrompo. Iru al la aplikaĵa vojo, ĉar tie plej multaj raportoj pri konektita sed sen trafiko fakte finiĝas.

Halto tri: decidu, ĉu reordigo estas reala

Reordigo estas eco de la vojo, kaj unu diagnozo estas unu sola specimeno de ĝi. Serĉu ripetitajn mesaĝojn por la sama samtavolano en mallonga fenestro, kaj komparu kun kaptaĵo ĉe ambaŭ finoj antaŭ ol konkludi, ke la reto agrese reordigas.

Plenmano da mesaĝoj dum rekonekto estas nerimarkinda. Daŭra fluo apud realaj aplikaĵaj tempolimoj indas esploradon, kaj tiu kombinaĵo estas pruvo, ne etikedo.

Halto kvar: la fenestraj parametroj, kaj kio ili ne estas

replay-window prenas sekvencograndecon kaj laŭvolan tempan valoron, do plivastigo ŝanĝas du malsamajn toleremojn samtempe. Pliigo de la nombro permesas pakaĵojn pli malproksimajn de la ordo; la tempa valoro limigas, kiom longe pakaĵo ankoraŭ povas esti konsiderata. Plivastigo estas politika ŝanĝo kun sekureca kosto, kaj ĝi nek fortigas ĉifron nek malŝaltas duplikatan detekton. La du toleremoj moviĝas kune, ĉu vi intencis tion aŭ ne.

Malnova aŭtentikigita pakaĵo ankoraŭ povas esti nedezirata ripeto, tial la ricevanto tenas ĉi tiujn kontrolojn. Akcepti pli da reordigo signifas akcepti pli da tiu risko.

Silentigi la averton per mute ŝanĝas tion, kion vi vidas, ne tion, kion faras la demono. Se la celo estas pli trankvila protokolo dum konata okazaĵo, tio estas legitima operacia elekto; se la celo estas ripari tunelon, silentigado kaŝas la pruvon.

mute 20
replay-window 64 15

Ŝanĝi la eksteran transporton al TCP ŝanĝas liveran kaj rekuperan konduton kaj aldonas proprajn kostojn pro blokado de la vica kapo. Ĝi estas dezajna decido, ne unua respondo al unu protokola etikedo. Reinstali la servilon estas pli malbone, ĉar ĝi forviŝas la distingon inter statistiko kaj la limo, kiu fakte fiaskis.

Halto kvin: testu la vojon, pri kiu zorgas la uzanto

Kun la tunelo konektita, rulu la propran teston de la aplikaĵo kaj legu ĝian elektitan itineron, plusendan staton kaj revenan vojon. Tunelo, kiu portas pakaĵojn nur en unu direkto, tute ne produktas mesaĝojn pri retroiro, kaj tio estas multe pli ofta ol severa reordigo.

Skribu, kion vi mezuris ĉe ĉiu halto. La registro estas tio, kio malhelpas la sekvan raporton rekomenci ĉe la timiga linio kaj labori eksteren de tie.

La pakaĵo-IDa efektivigo montras la ordon de la statistiko kaj la decido, kaj la manlibro priskribas la sekvencan kaj tempan amplekson de la fenestro. Legi ambaŭ kune estas tio, kio transformas timigan protokolan linion en konatan kvanton. Neniu el ili diras ion pri via specifa vojo, tial la supraj mezuradoj ankoraŭ gravas.