OpenVPN orduro erorketa: birnegoziazioa ala benetako berrekonexioa?

Hirurogei minutu, edo hogeita hamar, edo ehun eta hogei: tarte borobil batean erortzen den deskonexioa ia inoiz ez da sarea. OpenVPN tenporizadore baten arabera berritzen du datu-kanala babesten duen gako-materiala, eta pentsatu duzuna baino laburragoa den tenporizadore batek etengabe huts egiten duen lotura baten itxura zehatza du. Erabiltzaileek konexio hautsia salatzen dute, erregistroak gako-truke arrakastatsua salatzen duen bitartean. Beheko gidak berritze hori benetako berrabiaraztetik bereizten du, benetan indarrean dagoen balioa irakurtzen du, eta kostua mahai gainean egon ondoren soilik aldatzen du.

Egin urratsak ordenan, lehenengoak erabakitzen baitu gainerako orrialdeak zurekin zerikusirik duen ala ez. Aurrera eginez gero, arratsalde bat emango duzu tenporizadore bat doitzen harekin zerikusirik ez duen akats batengatik.

Bereizi berrabiarazte leun bat berrabiarazte batetik

Erregistroaren lerroa da diagnosi osoa. Birnegoziazioak berrabiarazte leun bat idazten du eta gero gako-truke berri bat tunel berean: interfazeak bere helbidea mantentzen du, ibilbideak ez dira berriz gehitzen, eta ezarritako TCP saioek normalean bizirik irauten dute atsedenaldi batekin. Benetako berrabiarazte batek saioa urratzen du, interfazea berreraikitzen du, agian bezeroaren beste helbide bat ematen du, eta iraupen luzeko konexio guztiak hiltzen ditu. Bi gertaerak arruntak dira; horietako batek soilik azaltzen du moztutako dei bat.

journalctl -u openvpn-client@office -b --no-pager | grep -nE 'soft reset|Connection reset|reneg|TLS Error'
openvpn --version | head -n 1

Bertsioaren lerroa garrantzitsua da erregistroaren idazkera bertsioen artean aldatzen delako, eta 2.3 bertsiotik gogoratzen duzun mezu bat 2.6 bertsioan beste modu batera idatzita egon daitekeelako. Irakur ezazu zure erregistroa, ez beste norbaiten foro-zati bat. Aipa ezazu lerro zehatza laguntza eskatzen duzunean, parafrasi batek gertaera identifikatzen duen xehetasuna galtzen baitu. Interfazearen helbidea gertaeran zehar aldatu gabe badago eta saio-zerrendak bizirik irauten badu, berritze bat ikusten ari zara eta gainerako atalak aplikagarriak dira.

Irakur ezazu indarrean dagoen tenporizadorea, ez zure fitxategia

reneg-sec datu-kanalaren birnegoziazioen arteko segundo-kopurua da eta bere balio lehenetsia 3600 da. Alde bakoitzak bere balioa darama, eta bien arteko txikiena da berritzea benetan eragiten duena. Arau bakar horrek azaltzen ditu txosten gehienak: zenbaki handia ezartzen duen bezero-profila orduro berrezartzen da oraindik, zerbitzariak balio lehenetsia mantentzen duen bitartean.

grep -Rn --include='*.conf' -E 'reneg-sec|reneg-bytes' /etc/openvpn
# server side, including included files
grep -Rn -E '^reneg-sec' /etc/openvpn/server/

Irakur ezazu zerbitzariaren konfigurazio eraginkorra ere, bultzatzen duen guztia barne, bezeroaren fitxategitik ondorio bat atera aurretik. Gero igo detaile-maila eta jarraitu tarte bat hasieratik amaierara: 3 mailak birnegoziazioaren lerroak erakusten ditu jada, eta denbora-zigiluek esaten dute gertaera 3600 segundoan behin errepikatzen den edo jarduerari jarraitzen dion.

Alda ezazu benetan bultzatzen den tokian

Zabiltzan erremedioa bezero-profilaren lerro bakarra da, eta kasuen erdietan leku okerra da. Aldearen balio txikienak irabazten duelako, tenporizadorea zerora ezartzen duen bezero bat aldatu ez den zerbitzari batek birnegozia dezake oraindik.

# on both ends, or on the side that owns the pushed configuration
reneg-sec 0

Profilak zentralizatuan sortzen direnean, editatu txantiloia, ez inplementatutako kopia, bestela hurrengo hornikuntza-exekuzioak kendu berri duzun balioa leheneratuko du. Egiaztatu bi tarte behatuz, ez bat: ordu lasai batek 7200an ezarritako tenporizadore batekin ere bat egiten du.

Erabaki ezazu zer gertatzen den inplementazio misto batean. Aldaketa lehenengo bezeroetara zabaltzen baduzu, zerbitzariak berritzea oraindik eragiten duen leiho bat geratzen da; kaltegabea da, baina nahasgarria erregistroak berrespen bila begiratzen badituzu. Alda ezazu lehenengo balio txikiena duen aldea eta sintoma desagertuko da espero duzun puntuan.

Zer uzten duzun birnegoziazioa desgaitzean

Birnegoziazio erregularrak mugatzen du datu-kanaleko gako-multzo bakar batek zenbat denboraz babesten duen trafikoa. Tenporizadorea itzaltzeak ez du tunela hausten, eta etxeko bideratzaile edo bulego txikiko ate batean praktikako esposizioa apala da. Truke bat da oraindik, eta trukea merezi du aipatzeak egin aurretik. Aldatzen dena da gako-multzo batek zenbat denboraz babesten duen saio bat, ez tunelak batere funtzionatzen duen ala ez.

Desgaitzeko kasu arrazoizkoa berreskuratu ezin den zerbait hausten duen berrezarpen bat da: erortzen den dei bat, berrezarri behar den urruneko mahaigaineko saio bat, hasieratik abiatzen den babes-kopia bat. Atsedenaldia erabiltzaileentzat ikusezina bada, balio lehenetsia mantentzeak ez du ezer kostatzen eta emandako gako-errotazioa gordetzen dizu.

Hobetsi kausa konpontzea ereduak ahalbidetzen duenean. Lehen eskuko ukipenak arrakasta izan zuen bitartean erdibidean huts egiten duen berritze batek bidea seinalatzen du, ez tenporizadorea: bilatu pakete-tamainaren arazo bat kontrol-kanalaren truke handiagoan, emaria uzten duen egoera-egoerako suebaki bat, edo lehen saiakeran soilik arrakasta duen proposamen bat. Horietako bakoitzak arrasto bat uzten du oraintxe irakurri duzun erregistro berean. Tenporizadorea desgaitzeak froga hori ezkutatzen du.

Tarteak beste norabait seinalatzen duenean

Konfigurazioko bi bizilagunek antzeko sintomak eta konponketa desberdinak sortzen dituzte. ping-restart tunela berrabiarazten du ezarritako epe batean ezer iristen ez denean, eta ping-exit bezeroa guztiz jaisten du. Erregistroan inongo birnegoziaziorik gabeko erorketa alferrikakoa hauei dagokie, edo UDP mapaketa bere egutegiaren arabera iraungi zuen NAT gailu bati.

Kontsumitzaileen bideratzaileek, hotspot mugikorrek eta operadore-mailako NATek alferrikako UDP saioak iraungitzen dituzte inori esan gabe. Hutsegite horrek alferrikakoa jarraitzen du, ez erlojua, eta hori da seinalea: hamar minutu lasairen ondoren erortzen den eta ordu bat trafiko egonkor gainditzen duen saio bat ez dago birnegoziatzen.

Idatzi hiru gauza laugarren bat aldatu aurretik: neurtu duzun tartea, aurkitu duzun balio eraginkorra eta hura erakutsi zuen komandoa. Tartea tenporizadorea mugitzen denean mugitzen bada, mekanismoa identifikatuta dago eta konponketa goiko trukeari buruzko erabakia da. Mugitzen ez bada, jarri ezarpena atzera eta jarraitu keepaliveak, NAT egoera eta pakete-galera begiratzen.