OpenVPN-toiston takautuminen lokissa: mitä rivi ei todista

Rivi sanoo PID_ERR replay-window backtrack occurred, ja kaikki hakutulokset selittävät sen pudonneiksi paketeiksi ja rikkinäiseksi tunneliksi. Community OpenVPN 2.6:n UDP-polussa tämä viesti kirjoitetaan, kun vastaanottotoiminto vielä päättää, mitä paketille tehdään. Se kirjaa uuden takautumisen maksimin, minkä jälkeen sama toiminto vertaa etäisyyttä ikkunaan ja tallennettuun tilaan ennen hyväksymistä tai hylkäämistä. Lokitunnisteen lukeminen tuomiona on se virhe, jonka estämiseksi tämä tarkistuslista on olemassa.

Pysäkki yksi: selvitä, mikä rivi on

Se on diagnostiikka sekvenssietäisyydestä, ei päätös yhteydestä. Se esiintyy paketti-ID:n toteutuksessa kohdassa, jossa äskettäin havaittu takautumisen maksimi merkitään. Tämä kohta on ennen hyväksymis- tai hylkäyshaaraa, minkä vuoksi sen laukaissut paketti voidaan silti toimittaa.

Vahvista, mikä isäntä sen kirjoitti ja millä yksityiskohtaisuudella. Palvelin ja asiakas voivat molemmat lähettää paketti-ID-viestejä, eikä toisen osapuolen viesti kerro mitään toisen vastaanottotilasta.

Pysäkki kaksi: löydä kyseisen paketin tulos

Lue diagnostiikan jälkeiset rivit, älä pelkkää diagnostiikkaa. Sama toiminto jatkaa ikkunan ja kaksoiskappaleiden tarkistuksiin, joten juuri tämän paketin tulos päätetään muutamaa käskyä myöhemmin ja voi aivan hyvin olla hyväksyntä. Lokikatkelma, joka päättyy pelottavaan riviin, ei kerro tuloksesta mitään. Hae ikkunaa sen ympäriltä, älä itse riviä:

journalctl -u openvpn-server@server --since "-10 min" | grep -n -A3 -B3 "backtrack occurred"

Jos loki ei näytä tuolloin hylkäystä kyseiselle vastaparille, lakkaa pitämästä tätä riviä katkon syynä. Siirry sovelluksen polkuun, sillä siellä useimmat yhdistetty mutta ei liikennettä -raportit oikeastaan päättyvät.

Pysäkki kolme: päätä, onko uudelleenjärjestely todellista

Uudelleenjärjestely on polun ominaisuus, ja yksi diagnostiikka on vain yksi sen näyte. Etsi toistuvia viestejä samalle vastaparille lyhyessä ikkunassa ja vertaa molemmissa päissä tehtyyn kaappaukseen ennen kuin päättelet verkon järjestävän uudelleen aggressiivisesti.

Kourallinen viestejä uudelleenyhdistämisen aikana ei ole merkittävää. Jatkuva virta todellisten sovelluksen aikakatkaisujen ohella kannattaa tutkia, ja tämä yhdistelmä on todiste, ei leima.

Pysäkki neljä: ikkunan parametrit ja mitä ne eivät ole

replay-window ottaa sekvenssikoon ja valinnaisen aika-arvon, joten sen laajentaminen muuttaa kahta eri toleranssia kerralla. Luvun kasvattaminen sallii paketteja, jotka ovat kauempana järjestyksestä; aika-arvo rajaa, kuinka kauan pakettia voidaan vielä harkita. Laajentaminen on turvallisuuskustannuksin tehtävä käytäntömuutos, eikä se vahvista salausta tai poista kaksoiskappaleiden tunnistusta käytöstä. Kaksi toleranssia liikkuvat yhdessä, halusit sitä tai et.

Vanha todennettu paketti voi silti olla ei-toivottu toisto, minkä vuoksi vastaanottaja pitää nämä tarkistukset. Useamman uudelleenjärjestelyn hyväksyminen tarkoittaa useamman osan hyväksymistä siitä riskistä.

Varoituksen vaimentaminen mute:lla muuttaa sitä, mitä näet, ei sitä, mitä taustapalvelu tekee. Jos tavoitteena on hiljaisempi loki tunnetun tapahtuman aikana, se on laillinen operatiivinen valinta; jos tavoitteena on tunnelin korjaaminen, vaimentaminen kätkee todisteet.

mute 20
replay-window 64 15

Ulkoisen kuljetuksen vaihtaminen TCP:hen muuttaa toimitus- ja palautumiskäyttäytymistä ja lisää omat jonon pään estämisen kustannukset. Se on suunnittelupäätös, ei ensimmäinen vastaus yhteen lokitunnisteeseen. Palvelimen uudelleenasennus on pahempi, koska se pyyhkii eron tilaston ja sen rajan väliltä, joka todella petti.

Pysäkki viisi: testaa polku, josta käyttäjä välittää

Kun tunneli on yhdistetty, aja sovelluksen oma testi ja lue sen valittu reitti, edelleenohjaustila ja paluupolku. Tunneli, joka kuljettaa paketteja vain yhteen suuntaan, ei tuota lainkaan takautumisviestejä, ja se on paljon yleisempää kuin vakava uudelleenjärjestely.

Kirjoita muistiin, mitä mittasit kullakin pysäkillä. Kirjaus on se, mikä estää seuraavaa raporttia aloittamasta jälleen pelottavalta riviltä ja työskentelemästä siitä ulospäin.

Paketti-ID:n toteutus näyttää tilaston ja päätöksen järjestyksen, ja käsikirja kuvaa ikkunan sekvenssi- ja aikalaajuuden. Näiden kahden lukeminen yhdessä tekee pelottavasta lokirivistä tunnetun suureen. Kumpikaan ei kerro mitään juuri sinun polustasi, minkä vuoksi yllä olevat mittaukset ovat edelleen tärkeitä.