Retroceso de repetición de OpenVPN no rexistro: que non demostra a liña

A liña di PID_ERR replay-window backtrack occurred, e todos os resultados de busca explícano como paquetes descartados e un túnel roto. No camiño UDP de Community OpenVPN 2.6, esa mensaxe escríbese mentres a función de recepción aínda decide que facer co paquete. Rexistra un novo máximo de retroceso e despois a mesma función compara a distancia coa xanela e co estado rexistrado antes de aceptar ou rexeitar. Ler a etiqueta do rexistro como o veredicto é o erro que esta lista de comprobación existe para evitar.

Parada un: identifique que é a liña

É un diagnóstico sobre a distancia de secuencia, non unha decisión sobre unha conexión. Aparece na implementación do ID de paquete no punto onde se anota un máximo de retroceso recentemente observado. Ese punto está antes da rama de aceptar ou rexeitar, polo que un paquete que o provoca aínda pode entregarse.

Confirme que host a escribiu e con que verbosidade. Un servidor e un cliente poden emitir mensaxes de ID de paquete, e unha mensaxe dun lado non di nada sobre o estado de recepción do outro.

Parada dous: atope o resultado dese paquete

Lea as liñas posteriores ao diagnóstico en lugar de só o diagnóstico. A mesma función continúa cara ás súas comprobacións de xanela e duplicados, así que o resultado dese paquete concreto decídese unhas instrucións despois e ben pode ser a aceptación. Un extracto de rexistro que remata na liña arrepiante non lle di nada sobre o resultado. Busque unha xanela ao seu redor, non a liña en si:

journalctl -u openvpn-server@server --since "-10 min" | grep -n -A3 -B3 "backtrack occurred"

Se o rexistro non mostra ningún rexeitamento para ese par nese momento, deixe de tratar esta liña como a causa da caída. Pase ao camiño da aplicación, que é onde a maioría dos informes de conectado pero sen tráfico realmente rematan.

Parada tres: decida se a reordenación é real

A reordenación é unha propiedade do camiño, e un diagnóstico é unha soa mostra dela. Busque mensaxes repetidas para o mesmo par nunha xanela curta e compáreas cunha captura nos dous extremos antes de concluír que a rede reordena con agresividade.

Un puñado de mensaxes durante unha reconexión non ten nada de particular. Un fluxo continuo xunto con tempos de espera reais da aplicación merece investigación, e esa combinación é evidencia, non unha etiqueta.

Parada catro: os parámetros da xanela e que non son

replay-window toma un tamaño de secuencia e un valor de tempo opcional, así que amplialo cambia dúas tolerancias distintas á vez. Subir o número admite paquetes máis afastados da orde; o valor de tempo limita canto tempo pode seguir considerándose un paquete. Ampliar é un cambio de política cun custo de seguridade, e non reforza un cifrado nin desactiva a detección de duplicados. As dúas tolerancias móvense xuntas, o quixese ou non.

Un paquete autenticado antigo aínda pode ser unha repetición non desexada, por iso o receptor mantén estas comprobacións. Aceptar máis reordenación significa aceptar máis dese risco.

Silenciar o aviso con mute cambia o que ve, non o que fai o demo. Se o obxectivo é un rexistro máis tranquilo durante un evento coñecido, é unha elección operativa lexítima; se o obxectivo é reparar un túnel, silenciar oculta a evidencia.

mute 20
replay-window 64 15

Cambiar o transporte exterior a TCP cambia o comportamento de entrega e recuperación e engade os seus propios custos de bloqueo de cabeza de cola. É unha decisión de deseño, non unha primeira resposta a unha etiqueta do rexistro. Reinstalar o servidor é peor, porque borra a distinción entre unha estatística e a fronteira que realmente fallou.

Parada cinco: probe o camiño que lle importa ao usuario

Co túnel conectado, execute a proba propia da aplicación e lea a súa ruta seleccionada, o seu estado de reenvío e a súa ruta de retorno. Un túnel que transporta paquetes só nunha dirección non produce ningúnha mensaxe de retroceso, e é moito máis común que unha reordenación grave.

Anote o que mediu en cada parada. O rexistro é o que impide que o seguinte informe volva comezar na liña arrepiante e traballar cara a fóra desde alí.

A implementación do ID de paquete mostra a orde da estatística e da decisión, e o manual describe o alcance de secuencia e de tempo da xanela. Ler ambas as cousas xuntas é o que converte unha liña de rexistro arrepiante nunha cantidade coñecida. Ningunha das dúas di nada sobre a súa ruta concreta, por iso as medicións anteriores seguen importando.