Titim OpenVPN gach uair: ath-idirbheartú nó fíor-athnasc?

Seasca nóiméad, nó tríocha, nó céad is fiche: is ar éigean a bhíonn an líonra mar chúis le titim a tharlaíonn ar eatramh cruinn. OpenVPN athnuaíonn sé ar amadóir an t-ábhar eochrach a chosnaíonn an cainéal sonraí, agus breathnaíonn amadóir níos giorra ná an ceann a ghlac tú leis go díreach cosúil le nasc a theipeann arís agus arís eile. Tuairiscíonn úsáideoirí nasc briste agus tuairiscíonn an loga malartú eochrach rathúil. Dealaíonn an treoir thíos an athnuachan sin ó fhíor-atosú, léann sí an luach atá i bhfeidhm i ndáiríre, agus ní athraíonn sí é ach amháin tar éis an costas a bheith ar an tábla.

Déan na céimeanna in ord, mar socraíonn an chéad cheann an mbaineann an chuid eile den leathanach leat ar chor ar bith. Má léimeann tú chun tosaigh, caithfidh tú tráthnóna ag tiúnadh amadóra le haghaidh lochta nach bhfuil baint ar bith aige leis.

Idirdhealaigh atosú bog ó atosú

Is é líne an loga an diagnóis ar fad. Scríobhann ath-idirbheartú atosú bog agus ansin malartú eochrach úr laistigh den tollán céanna: coimeádann an comhéadan a sheoladh, ní chuirtear bealaí leis arís, agus maireann seisiúin TCP bhunaithe de ghnáth le sos. Stróiceann fíor-atosú an seisiún, atógann sé an comhéadan, seans go dtugann sé seoladh cliaint eile, agus maraíonn sé gach nasc fadbhuan. Tá an dá eachtra coitianta; ní mhíníonn ach ceann acu glaoch a caitheadh.

journalctl -u openvpn-client@office -b --no-pager | grep -nE 'soft reset|Connection reset|reneg|TLS Error'
openvpn --version | head -n 1

Tá tábhacht leis an líne leagain mar athraíonn foclaíocht an loga idir eisiúintí, agus féadfar teachtaireacht a mheabhraíonn tú ó 2.3 a fhoclaíocht ar bhealach eile in 2.6. Léigh do loga féin seachas sleachta fóraim ó dhuine eile. Luaigh an líne bheacht nuair a iarrann tú cabhair, mar cailleann athinsint an mhionsonra a aithníonn an eachtra. Mura n-athraíonn seoladh an chomhéadain le linn na heachtra agus má mhaireann liosta na seisiún, tá athnuachan á feiceáil agat agus baineann na rannóga eile leat.

Léigh an t-amadóir éifeachtach, ní do chomhad

reneg-sec is ea líon na soicind idir ath-idirbheartuithe an chainéil sonraí agus is é 3600 an luach réamhshocraithe. Iompraíonn gach piara a luach féin, agus is é an ceann is lú den dá cheann a spreagann an athnuachan i ndáiríre. Míníonn an riail aonair sin formhór na dtuarascálacha: athshocraítear próifíl cliaint a shocraíonn uimhir mhór gach uair an chloig mar sin féin, fad a choimeádann an freastalaí an réamhshocraithe.

grep -Rn --include='*.conf' -E 'reneg-sec|reneg-bytes' /etc/openvpn
# server side, including included files
grep -Rn -E '^reneg-sec' /etc/openvpn/server/

Léigh cumraíocht éifeachtach an fhreastalaí freisin, lena n-áirítear gach a bhrúnn sé, sula dtagann tú ar chonclúid ó chomhad an chliaint. Ansin ardaigh an mhionsonraíocht agus féach ar eatramh amháin ó thús deireadh: taispeánann leibhéal 3 línte an ath-idirbheartaithe cheana féin, agus insíonn na hamstampaí duit an ndéantar an eachtra a athrá gach 3600 soicind nó an leanann sí gníomhaíocht.

Athraigh é san áit a bhfuil sé á bhrú i ndáiríre

Is é an leigheas atá ag scaipeadh ná líne amháin i bpróifíl an chliaint, agus is é an áit mhícheart é thart ar leath na n-am. Toisc gurb é luach níos ísle an phiar a bhuann, is féidir le freastalaí nach bhfuil athraithe ath-idirbheartú a dhéanamh fós ar chliant a shocraíonn an t-amadóir ar nialas.

# on both ends, or on the side that owns the pushed configuration
reneg-sec 0

Nuair a ghintear próifílí go lárnach, cuir an teimpléad in eagar seachas an chóip imscartha, nó cuirfidh an chéad rith soláthair eile an luach a bhain tú díot díreach ar ais. Fíoraigh trí dhá eatramh a fheiceáil, ní ceann amháin: tá uair an chloig chiúin ag teacht le hamadóir a socraíodh ar 7200.

Socraigh freisin cad a tharlaíonn le himscaradh measctha. Má scaipeann tú an t-athrú chuig cliaint ar dtús, fágtar fuinneog ina spreagann an freastalaí an athnuachan fós; tá sé neamhdhíobhálach ach mearbhall má bhíonn tú ag breathnú ar na logaí le haghaidh dearbhaithe. Athraigh an taobh a bhfuil an luach is lú aige ar dtús agus imíonn an tsíomptóm ag an bpointe a mbíonn tú ag súil leis.

Cad a ghéilleann tú trí ath-idirbheartú a dhíchumasú

Cuireann ath-idirbheartú rialta teorainn le cé chomh fada a chosnaíonn aon sraith amháin eochracha cainéil sonraí an trácht. Ní bhriseann múchadh an amadóra an tollán, agus ar ródaire baile nó geata oifige bhig tá an nochtadh praiticiúil measartha. Is malartú é fós, agus is fiú an malartú a lua sula ndéanann tú é. Is é a athraíonn ná cé chomh fada a chosnaíonn sraith eochrach amháin seisiún, ní cé acu a oibríonn an tollán ar chor ar bith.

Is é an cás réasúnta chun é a dhíchumasú ná atosú a bhriseann rud nach féidir a atosú: glaoch a thiteann, seisiún deisce iargúlta nach mór a athbhunú, cúltaca a thosaíonn ón tús. Má tá an sos dofheicthe d'úsáideoirí, ní chosnaíonn sé faic an réamhshocraithe a fhágáil agus coinníonn sé an rothlú eochrach a tugadh duit.

Bíodh sé mar rogha agat an chúis a shocrú nuair a cheadaíonn an patrún é. Cuireann athnuachan a theipeann leathbhealach agus an chéad chroitheadh lámh d'éirigh, síos ar an gcosán seachas ar an amadóir: féach ar fhadhb mhéide paicéid sa mhalartú níos mó ar an gcainéal rialaithe, ar bhalla dóiteáin stáit a ligeann an sreabhadh chun siúil, nó ar thogra nach n-éiríonn ach ar an gcéad iarracht. Fágann gach ceann acu rian sa loga céanna a léigh tú díreach. Folaíonn múchadh an amadóra an fhianaise sin.

Nuair a dhíríonn an t-eatramh ar áit eile

Táirgeann beirt chomharsa sa chumraíocht comharthaí comhchosúla agus réitigh éagsúla. Atosaíonn ping-restart an tollán nuair nach dtagann aon rud ar feadh tréimhse atá cumraithe, agus tógann ping-exit an cliant síos go hiomlán. Baineann titim díomhaoin gan aon ath-idirbheartú in aon áit sa loga leo seo, nó le feiste NAT a lig don mhapáil UDP dul in éag ar a sceideal féin.

Ligtear do ródairí tomhaltóra, hotspotanna soghluaiste agus NAT grád iompróra seisiúin UDP díomhaoine dul in éag gan é a insint d'aon duine. Leanann an teip sin díomhaointeas seachas an clog, agus sin an comhartha: ní bhíonn seisiún a thiteann tar éis deich nóiméad ciúin agus a mhaireann uair an chloig de thrácht seasta ag ath-idirbheartú.

Scríobh síos trí rud sula n-athraíonn tú an ceathrú ceann: an t-eatramh a thomhais tú, an luach éifeachtach a fuair tú agus an ordú a thaispeáin é. Má ghluaiseann an t-eatramh nuair a ghluaiseann an t-amadóir, aithnítear an mheicníocht agus is cinneadh faoin malartú thuas an réiteach. Mura ngluaiseann sé, cuir an socrú ar ais agus lean ort ag féachaint ar keepalives, ar staid NAT agus ar chaillteanas paicéad.