OpenVPNek TLS errore baten ondoren berriro saiatzen jarraitzen du: nola gelditu

Bezeroa konektatzen da, TLS negoziazioan huts egiten du, itxaron eta zerbitzari berarekin saiatzen da berriro emaitza berarekin. Prozesu huts egindakoa berrabiarazten duen gainbegirale baten pean, saiakera horiek amaigabeko begizta bihurtzen dira egunkarian, eta lehen diagnostiko-lerroa ikusmenetik ateratzen da. OpenVPN tresnak negoziazio-hutsegite hori irteera ikusgai bihurtzeko aukera bat dakar, beste saiakera bat egin beharrean. Diagnostiko eta gainbegiratzeko ezarpena da, ez konponketa, beraz parekatu ezazu prozesua benetan behera uztea ahalbidetzen duen politikarekin.

Lehen errorea ezkutatzen duen zikloa

Ikusten duzuna bloke errepikakorra da, ez hutsegite bakarra: konexio-saiakera bat, TLS errore bat, pauso bat eta gero sekuentzia bera. Errepikapen bakoitzak jatorrizko lerroa gero eta gorago bultzatzen du egunkarian. Unitateak huts egitean berrabiarazten badu, zikloak orduak iraun ditzake inork arrazoia irakurri gabe. Sintoma begizta da, nahiz eta azpiko akatsa negoziazio-problema bakarra izan.

Saio interaktiboek hori toleratzen dute, huts egite iragankorra hurrengo saiakeran argi daitekeelako. Konexio automatizatuek ezin dute optimismo bera baimendu: prozesuak gelditu behar du pertsona batek edo monitore batek egoera ikus dezan.

Ezer aldatu aurretik, harrapatu ziklo oso bat. Idatzi urrutiko helbidea, errorean aipatutako TLS etapa eta prozesua batere irteten den.

Begiztaren atzeko berriro saiatzeko mekanismoa

Berriro saiatzea da lehenetsia, hainbat denbora-muga erlazionatugabek mekanismo bera partekatzen dutelako. connect-retry aukerak konexio-saiakeren arteko tartea ezartzen du, connect-retry-max aukerak urrutiko sarrera bakoitza zenbat aldiz probatzen den mugatzen du, eta resolv-retry aukerak izenen bilaketa errepikatuak gobernatzen ditu. TLS negoziazio-hutsegite bat garraio-gertaera gisa iristen da mekanismora, beraz bezeroak beste saiakera bat programatzen du jakinarazi beharrean. Lehenetsitako balioa lagungarria da esteka ezegonkorrerako eta kaltegarria sendatu ezin den akats baterako.

--tls-exit aukerak negoziazio-kasua soilik aldatzen du. Eskuliburuak TLS negoziazio-hutsegitean irtetea dela deskribatzen du, edozein erroretan irtetea baino estuagoa. Denbora-mugek, resolver hutsegiteek eta autentifikazio-ukatzeek beren portaera gordetzen dute.

Bezeroa TLS hutsegitean irtenaraztea

Jarri tls-exit bezeroak benetan kargatzen duen profilean, edo eman --tls-exit abiaraztean, eta exekutatu behin aurreko planoan. Irakurri irteera-egoera eta egunkariko azken lerroa, gainbegiraleak egoerari erantzuten diolako. Negoziazio-hutsegite baten ondorengo zero ez den irteera da emaitza zuzena. Prozesuak amaitzen ez badu eta berriro saiatzen jarraitzen badu, aukera ez dago bezeroak benetan kargatzen duen profilean.

Gainbegiraleak erabakitzen du irteera hori ikusgai den. Restart=always edo Restart=on-failure dituen systemd unitate batek bezeroa berriro abiarazten du, beraz begiztak jarraitzen du eta aukerak ez duela ezer egiten dirudi. Egiaztatu politika bezeroa erruztatu aurretik:

systemctl show -p Restart -p RestartSec openvpn-client@office
journalctl -u openvpn-client@office -n 40 --no-pager

Restart=no aukerak prozesua behera uztea ahalbidetzen du, eta Restart=on-failure aukerak zero ez den egoeraren ondoren berrabiarazten du oraindik. Hutsegitea ikusgai izatea baina zerbitzua erlazionatugabeko erorketetatik berreskuratzea nahi baduzu, ezarri Restart=on-failure eta erabili StartLimitBurst eta StartLimitIntervalSec berrabiarazte-enbata gelditzeko. Gero irakurri unitatearen egoera azken irteera-kodea baieztatzeko: systemctl status komandoak jakinarazten du, eta egunkariak lehen errorea gordetzen du berrabiarazteen gainean.

Idatzi erabakia unitatean edo profileko oharretan. TLS hutsegitean irteten den profil bat istripu bat dirudi hurrengo pertsonarentzat, arrazoia erregistratuta ez badago. Zehaztu zein hutsegitek gelditu behar duten prozesua eta zein saiatu behar diren berriro.

Frogatu aldi baterako amaiera-puntu batekin

Portaera fidatu aurretik ikusteko, kopiatu profila eta zuzendu kopioa TCP konexioa onartzen duen baina inoiz OpenVPN hitz egiten ez duen amaiera-puntu batera. Nahikoa da erantzun eta gero isiltzen den entzule bat. tls-exit aukerarekin, bezeroak amaitu beharko luke esku-emateak huts egiten duenean; hura gabe, profil berak ziklo egiten jarraitu beharko luke. Erabili kopioa, inoiz ez laneko profila.

Konparatu bi exekuzioak irteera-egoeraren eta lehen errore-lerroaren arabera, ez bakoitzak zenbat iraun zuenaren arabera. Egoerak esaten dizu aukera martxan jarri zen, eta lehen lerroak esaten du zein etapak huts egin zuen.

Kendu proba-profila amaitu duzunean. Nahita okerreko amaiera-puntu bat duen kopia tranpa da geroago direktorioko profil guztiak abiarazten dituenarentzat.

Aukera honek inoiz iristen ez zaien etapak

Autentifikazio-ukatzea etapa berantiarragoa da. Zerbitzariak kontua ebaluatu eta ukatzen badu, TLS jada negoziatu da, beraz tls-exit aukerak ez du aktibatzen. Autentifikaziorako berriro saiatzeko ezarpenak dira hurrengo begiratokia, eta zerbitzariaren arrazoiak garrantzi handiagoa du bezeroaren azken lerroak baino. Pasahitz okerrak eta ziurtagiri falta batek antzeko mezuak sor ditzakete bezeroaren aldean.

Ibilbide falta batek, resolver oker batek edo atzigarri ez den pasabide batek ere aukera honetatik kanpo geratzen dira, ez baitira negoziazio-hutsegiteak. Pakete-galera isilak dira kasu nabarmenenetakoa: trukea zenbat aurreratu den arabera, bezeroak negoziazio-hutsegitea jakinarazi dezake edo denbora-muga huts egin.

Mantendu bereizketa zure oharretan. Ezarpena diagnostikorako eta gainbegiratzeko da, ez konpontzeko, beraz ez du zifratze-desadostasuna, ziurtagiri-problema bat edo ataka oker bat konpontzen. Konpondu negoziazio huts eginaren arrazoia lehenik, eta erabaki gero berehala irtetea oraindik egokitzen zaion inplementazioari.