OpenVPN-weromspieling yn it log: wat de rigel net bewiist

De rigel seit PID_ERR replay-window backtrack occurred, en alle sykresultaten ferklearje it as fuortsmite pakketten en in brutsen tunnel. Yn it UDP-paad fan Community OpenVPN 2.6 wurdt dy boadskip skreaun wylst de ûntfangstfunksje noch beslút wat it mei it pakket docht. It registrearret in nij maksimum fan weromspieling, dêrnei ferliket deselde funksje de ôfstân mei it finster en de registrearre steat foardat it akseptearret of wegeret. It loglabel as it fûnis lêze is de flater dy't dizze checklist foarkomme wol.

Halte ien: identifisearje wat de rigel is

It is in diagnostyk oer sekwinsjeôfstân, gjin beslút oer in ferbining. It ferskynt yn 'e pakket-ID-ymplemintaasje op it punt dêr't in nij waarnommen maksimum fan weromspieling notearre wurdt. Dat punt leit foar de tûke akseptearje of wegerje, dêrom kin in pakket dat it feroarsaket noch altyd besoarge wurde.

Befêstigje hokker host it skreau en mei hokker detailnivo. In tsjinner en in kliïnt kinne beide pakket-ID-berjochten útstjoere, en in berjocht fan ien kant seit neat oer de ûntfangststeat fan 'e oare kant.

Halte twa: fyn de útkomst foar dat pakket

Lês de rigels nei de diagnostyk ynstee fan allinne de diagnostyk. Deselde funksje giet troch nei syn finster- en dûbele kontrôles, dus de útkomst foar dat spesifike pakket wurdt in pear ynstruksjes letter besletten en kin hiel goed akseptaasje wêze. In logútsnitte dat by de skriklike rigel einiget, seit neat oer it resultaat. Sykje in finster deromhinne, net de rigel sels:

journalctl -u openvpn-server@server --since "-10 min" | grep -n -A3 -B3 "backtrack occurred"

As it log yn dy tiid gjin wegering foar dy peer toant, stop dan mei it behanneljen fan dizze rigel as oarsaak fan 'e útfal. Gean troch nei it paad fan 'e app, want dêr einigje de measte rapporten fan ferbûn mar gjin ferkear eins.

Halte trije: beslút oft oardersjen echt is

Oardersjen is in eigenskip fan it paad, en ien diagnostyk is ien inkeld meunster dêrfan. Sykje werhelle berjochten foar deselde peer yn in koart finster, en ferlykje se mei in opname oan beide einen foardat jo konkludearje dat it netwurk agressyf oardersjocht.

In hantsjefol berjochten by in werferbining is net bysûnder. In oanhâldende stream njonken echte app-time-outs is it ûndersykjen wurdich, en dy kombinaasje is bewiis, gjin label.

Halte fjouwer: de finsterparameters, en wat se net binne

replay-window nimt in sekwinsjegrutte en in opsjonele tiidwearde, dus it ferbreedzjen feroaret twa ferskillende tolerânsjes tagelyk. It ferheegjen fan it getal lit pakketten ta dy't fierder bûten oarder binne; de tiidwearde beheint hoe lang in pakket noch beskôge wurde kin. Ferbreedzjen is in beliedswiziging mei in feilichheidskosten, en it fersterket gjin sifer en skeakelet gjin dûbele detektyk út. De twa tolerânsjes bewege tegearre, oft jo dat woene of net.

In âld autentisearre pakket kin noch altyd in net-winske werhelling wêze, dêrom hâldt de ûntfanger dizze kontrôles. Mear oardersjen akseptearje betsjut mear fan dat risiko akseptearje.

De warskôging dempe mei mute feroaret wat jo sjogge, net wat de daemon docht. As it doel in rêstiger log by in bekend barren is, is dat in legitime operasjonele kar; as it doel is in tunnel te reparearjen, ferbergt dempen it bewiis.

mute 20
replay-window 64 15

It feroarjen fan it bûtenste ferfier nei TCP feroaret besoargings- en wersteldrach en foeget syn eigen kosten foar it blokkearjen fan 'e wachtrige ta. It is in ûntwerpbeslút, gjin earste reaksje op ien loglabel. De tsjinner opnij ynstallearje is slimmer, want it wisket it ferskil tusken in statistyk en de grins dy't echt mislearre.

Halte fiif: test it paad dat de brûker wichtich fynt

Mei de tunnel ferbûn, rin de eigen test fan 'e app en lês syn keazen rûte, trochstjoersteat en weromreis. In tunnel dy't pakketten mar yn ien rjochting ferfiert, produsearret hielendal gjin weromspielingsberjochten, en dat is folle gewoaner as swier oardersjen.

Skriuw op wat jo by elk halte metten hawwe. De registraasje is wat foarkomt dat it folgjende rapport wer by de skriklike rigel begjint en fan dêrút nei bûten wurket.

De pakket-ID-ymplemintaasje lit de oarder fan 'e statistyk en it beslút sjen, en de hânlieding beskriuwt it sekwinsje- en tiidberik fan it finster. It lêzen fan dy beiden tegearre is wat in skriklike logrigel yn in bekende grutheid feroaret. Gjin fan beide seit eat oer jo spesifike paad, dêrom binne de mjittingen hjirboppe noch wichtich.