Zergatik geratzen den zure OpenVPN bezeroa behera denbora-muga baten ondoren

Astelehen goizean: ostiralean altxatu zen tunela desagertu da, interfazea oraindik zerrendatuta dago, eta egunkarian ez dago inork hori nabaritu zuenik dioen ezer. Ostalaria linean dago, panela berdea da, eta asteburuan bidali zuen guztia interfaze fisikoan zehar atera zen. Hemen bi erabaki independente falta dira: bat bezeroaren prozesuak hutsegite iragankorra gainditzen duen ala ez, eta bestea haren gainetik dagoen zerbait prozesua berriro abiarazten duen ala ez irten ondoren. Bat bakarrik konpontzeak beste hutsunea irekita uzten du.

Hasi unitateak benetan egin zuenetik, monitorizazioak dioenetik baino. systemctl status openvpn-client@office eta journalctl -u openvpn-client@office -n 50 irteeraren arrazoia eta bezeroak joan aurretik idatzi zuen azken lerroa erakusten dituzte.

Prozesua irten zen inork nabaritu baino lehen

Akatsik gabe desagertzen den bezeroa normalean nahita irten da. Profilak erabakitzen du jokabide hori, ez zerbitzu-kudeatzaileak: ping-exit prozesua amaitzen du parekoak erantzuteari uzten dion unetik, eta ping-restart prozesua mantendu eta haren barruan berriz konektatzen da. Saio-mugek eta inaktibitate-denboragailuek kanpotik irudi bera ematen dute: tunelik gabe eta alarmarik gabe.

Bi ping direktibek ezin dute profil berean elkarrekin egon, beraz aukeratu bat eta idatzi erabakia. Begiratu zerbitzaria ere, haren ping-exit berak saioa ixten duelako bezeroak eskatu duen edozein dela ere, eta zerbitzariaren egunkariak soilik erregistratzen du nork hartu zuen erabaki hori.

ping-exit eta ping-restart artean aukeratzea

Aukeratu ping-restart bere kabuz sendatu behar den ordenagailu eramangarri edo urruneko gune baterako, eta gorde ping-exit tunel hilak prozesua gelditu behar duen kasuetarako, beste zerbaiti erreakziorako aukera emateko. Zenbakiek baino harremanak du garrantzi handiagoa: ping 10 eta ping-restart 60 elkarrekin hamar segundo isiltasun esan nahi dute proba baten aurretik eta hirurogei berrabiarazpenaren aurretik, galerak dituen mugikor katean oldarkorra eta kablezkoa denean zentzuzkoa. Idatzi arrazoia lerroaren ondoan, bestela hurrengo irakurleak pentsatuko baitu balio lehenetsiak nahita zeuden.

Ondoren egiaztatu prozesua izan zela benetan irten zena. Tunela hilda dagoelarik aktibo dagoela jakinarazten duen unitatea beste hutsegite bat da, beherago azaltzen dena.

Unitatea benetan berrabiarazten duen gainbegiratzea

systemd ostalarian, aldaketa iraunkorrik txikiena drop-in fitxategi bat da: Restart=on-failure eta RestartSec=10 /etc/systemd/system/[email protected]/restart.conf fitxategian. Drop-in bat systemd bere definizioak berriz kargatzen dituenean soilik irakurtzen da, beraz exekutatu systemctl daemon-reload ondoren. Egiaztatu systemctl show -p Restart -p ExecMainStatus openvpn-client@office erabiliz balioa iritsi dela suposatu ordez. Fitxategi izeneko instantzia unitateak benetan kargatzen duen profila izan behar da, beraz office rako idatzitako fitxategi batek ez du ezer egiten openvpn-client@home rako.

on-failure balioak kasu bat ez du kontuan hartzen: irteera garbia zero estatusarekin. Garbiketa-bide batzuk horrela amaitzen dira, beraz irakurri erregistratutako estatusa eskuliburu-orri baten hitzez fidatu ordez. Zure bezeroak zero batekin amore ematen badu, Restart=always behar duzu, eta kostua da benetan hautsitako profil bat behin eta berriz itzultzen dela, abiarazte-tasa muga aktibatu eta egunkaria bete arte.

Restart=always ere aktibatzen da nahita gelditu ondoren. Erabili systemctl stop mantentze-lanetarako, eta maskaratu unitatea lana egiten duzun bitartean hilda egon behar badu.

Harrapatu ihesa tunela behera dagoela

Gainbegiratzeak tunela itzularazten du; ez du eragozten trafikoa irtetea tunela falta den bitartean. persist-tun gailua eta bere bideak mantentzen ditu berriz konexioen artean, erosoa da eta leiho bat irekitzen du. Gailuak bizirik dirau, bideek oraindik hura seinalatzen dute, eta paketeak babesik gabe eta jakinarazpenik gabe isurtzen dira. Politika-erabakia da, ez balio lehenetsi neutroa.

Ostalari batek babesik gabeko paketerik inoiz igorri behar ez duenean, suebakiak soilik berma dezake. Tunelaren interfazea eta VPN zerbitzariaren helbidea onartu eta gainerako guztia baztertzen duen irteera-arauak bezeroa hil ondoren ere eusten du, eta bezeroaren beraren konfigurazioan ezerk ezin du bezeroak eramaten ez duen trafikoa iragazi.

Probatu bezeroa nahita geldituz. Exekutatu systemctl stop openvpn-client@office, gero curl -m 5 https://example.com, kate fisikoan huts egin beharko lukeena, arrakasta izan ordez. Arrakastak esan nahi du suebaki-araua falta dela edo sobera permisiboa dela.

Berriz konektatu, egiaztatu tunelek berriro trafikoa daramala, eta orduan soilik gehitu egiaztapena monitorizazioari. ip addr cron bidez galdetzea tun gailu baterako gehien huts egiten duen gainbegiratzea da, izan ere persist-tun rekin gailuak saioa baino gehiago irauten du eta probak osasuna jakinarazten du ezer eramaten ez denean.