Stopann an t-athsheoladh VPN ag glacadh le SSH: teorainneacha tuairisceoirí comhad

Críochnaíonn croitheadh láimhe WireGuard fós, taispeánann an peer críochphointe le déanaí fós, agus fós féin crochann seisiún SSH nua tríd an athsheoladh taobh thiar de gan bhratach. Cuireann an meascán sin ón tollán agus i dtreo an phróisis a ghlacann an soicéad. Suíonn athsheoladh cosúil le socat i gcosán na feidhme lena bhuiséad tuairisceoirí féin, lena leanaí féin agus lena theorainneacha oidhreachta féin. Tosaíonn an siúlóid thíos ag an gcliant agus stopann sí ag an gcéad chomhpháirt nach féidir léi soicéad eile a oscailt.

Lean an cosán sula n-athraíonn tú uimhir

Lean aon iarraidh amháin a theipeann in áit réasúnaíocht a dhéanamh faoin tollán ina iomláine. Scríobhann an cliant isteach sa tollán, díchriptíonn agus ródaíonn an deamhan VPN, agus glacann an t-athsheoladh ar an taobh thall. Ídíonn gach céim tuairisceoirí, agus is í an cheann a ritheann amach de ghnáth an ceann deireanach.

Tosaigh le hiarraidh is féidir leat a atáirgeadh agus tomhais a ham. Má chríochnaíonn croitheadh láimhe TCP ach nach dtagann aon bhratach feidhme, ghlac an t-athsheoladh an soicéad agus ansin stad sé i leanbh nó ar a chos uas-sreafa. Mura gcríochnaíonn an croitheadh láimhe féin riamh, is é an ródú, an balla dóiteáin nó staid an éisteora is cúis, ní uasteorainn tuairisceoirí. Taifead cé acu den dá chruth a chonaic tú, mar tugann siad le fios próisis éagsúla.

Áirigh na léimeanna a dhéanann obair dúbailte freisin. Tugann éisteoir gabhlánach gach soicéad glactha do leanbh a choinníonn a chóip féin, mar sin is maoin den chrann iomlán an t-iomlán fíor, ní den tuismitheoir amháin.

Léigh an teorainn a fuair an t-athsheoladh le hoidhreacht

Baineann an t-aon teorainn a bhfuil tábhacht léi leis an bpróiseas atá ag rith, agus shocraigh an rud a sheol an próiseas sin í. Déanann clóscríobh ulimit -n i sliogán cur síos ar an sliogán. Fiafraigh den bhainisteoir seirbhíse cad a chuir sé i bhfeidhm, ansin deimhnigh ar an PID.

systemctl show -p MainPID -p LimitNOFILE vpn-relay.service
cat /proc/$(systemctl show -p MainPID --value vpn-relay.service)/limits

Priontálann an comhad limits na huasteorainneacha bog agus crua mar a fheiceann an próiseas iad. Ciallaíonn luach bog íseal faoi luach crua fial go bhfuil cead ag an deamhan a uasteorainn féin a ardú, agus déanann cuid acu sin ag am tosaithe; ciallaíonn luachanna boga ísle comhionanna gurb é an comhad aonaid an foinse.

Lódáiltear drop-ins in ord leicseagrach agus buaíonn comhaid níos déanaí, mar sin is é systemctl cat vpn-relay.service an dearcadh údarásach ar a bhfuil i bhfeidhm. Is é eagarthóireacht a dhéanamh ar chomhad nach léann an bainisteoir riamh an chúis is coitianta nach mbíonn aon éifeacht ag uimhir ardaith.

Scar comhthráthacht sheasta ó staid choinneáilte

Is féidir le dhá phróiseas an uasteorainn chéanna a bhaint amach ar chúiseanna neamhghaolmhara, agus tá na leigheasanna difriúil. Is ceist acmhainne í éileamh a leanann seisiúin chomhthráthacha úsáideacha. Is sceitheadh nó sraith seisiún nár dhún aon duine é fás a leanann tar éis an obair a chríochnú.

Tomhais ag díomhaoin, ag do bhuaic ghnáthúil, agus arís cúpla nóiméad tar éis don ualach stopadh. Insíonn comhaireamh iontrálacha oscailte le ls /proc/PID/fd | wc -l i gcoinne na teorann boige an bhearna duit, agus is stad crua é comhaireamh a bhíonn a haon nó a dó faoin uasteorainn seachas cosán mall.

Nuair a dhiúltaíonn an comhaireamh titim, féach ar stáideanna soicéid seachas ar iomláin. Ciallaíonn tuairisceoirí ina suí i CLOSE_WAIT gur dhún an peer agus nár dhún do thaobh riamh, rud is locht ar shaolré na feidhme nach gcuireann teorainn níos mó ach moill air. Cuir teorainn leis an tsamhail leanaí freisin: ídeoidh athsheoladh gabhlánach gan uasteorainn ar leanaí comhthráthacha tuairisceoirí, sliotán próisis agus cuimhne le chéile.

Seiceáil an luach nua ar an bpróiseas beo

Tar éis an t-aonad a chur in eagar, athlódáil an bainisteoir agus atosaigh an tseirbhís, ós rud é nach n-athchuireann athlódáil amháin riamh theorainneacha atá faighte cheana ag próiseas atá ag rith. Fíoraigh ar an bpróiseas atá ag freastal ar thrácht i ndáiríre.

systemctl daemon-reload
systemctl restart vpn-relay.service
awk '/Max open files/ {print}' /proc/$(systemctl show -p MainPID --value vpn-relay.service)/limits
ss -tnp state established '( sport = :2222 )' | wc -l

Filleann líne awk an péire nua; má thaispeánann sé an seancheann fós, ní hé an drop-in a chuir tú in eagar an ceann atá á lódáil. Is é comhaireamh ss do sheiceáil ualaigh, mar sin oscail an líon seisiún a bhfuil súil agat leis agus féach air ag dreapadh. Ciallaíonn comhaireamh a leanann ag ardú tar éis na seisiúin sin a dhúnadh nárbh é an teorainn an fhadhb iomlán riamh.

Téann aon mhéadú mór le haon choinníoll amháin. Ní féidir le feidhmchláir a phollann le select() tuairisceoirí os cionn FD_SETSIZE a fheiceáil, arb é 1024 é ar ghnáth-thógálacha, mar sin is féidir le huasteorainn a ardaíodh thairis sin teipeanna a dhéanamh a bhféachann sé nach mbaineann siad le chéile. Tá an rabhadh céanna ag tagairt fhorghníomhaithe systemd do na seirbhísí a thosaíonn sé.

Coinnigh an t-atosú amach ó infhaighteacht an tolláin

Caitheann atosú an athsheolaidh a sheisiúin ghníomhacha, agus is ócáid ar leith é sin ón VPN ag dul síos. Ordaigh an t-athrú ionas go bhfanfaidh an tollán in airde agus an t-athsheoladh ag timthriall, agus tug rabhadh d’aon duine a dtéann a sheisiún fadtréimhseach thairis air.

Is é an rollú siar an comhad aonaid roimhe seo móide atosú eile, agus fanann an comhad sin ina áit go dtí go maireann an luach nua lá oibre. Ansin dún an lúb leis an iarraidh a theip ar dtús: seisiún SSH nua amháin tríd an athsheoladh, aistriú amháin atá fada go leor le bheith tábhachtach, agus comhaireamh tuairisceoirí a fhilleann ar a leibhéal díomhaoin.