Saukuwar OpenVPN kowace awa: sabunta yarjejeniya ko haɗin sake haɗawa na gaske?

Minti sittin, ko talatin, ko ɗari da ashirin: saukuwara da ta faɗi a tazara mai zagaye kusan ba cibiyar sadarwa ba ce. OpenVPN yana sabunta kayan maɓalli da ke kare tashar bayanai bisa ma'aunin lokaci, kuma ma'aunin da ya fi guntu fiye da wanda ka zata yana kama da hanyar da ke ci gaba da gazawa. Masu amfani suna ba da rahoton haɗin da ya karye yayin da rajista ke ba da rahoton musayar maɓalli mai nasara. Jagorar da ke ƙasa ta raba wannan sabuntawa daga ainihin sake kunnawa, tana karanta ƙimar da ke aiki a zahiri, kuma tana canza ta ne kawai bayan an kawo farashin a tebur.

Yi matakan bi da bi, saboda na farko shi ke yanke shawara ko sauran shafin ya shafe ka ko a'a. Idan ka tsallake gaba, za ka yi dare ɗaya kana daidaita ma'aunin lokaci don wata matsala da ba ta da alaƙa da shi.

Bambance tsakanin sake saiti mai laushi da sake kunnawa

Layin rajista shi ne dukkan binciken. Sabunta yarjejeniya tana rubuta sake saiti mai laushi sannan sabuwar musayar maɓalli a cikin wannan rami: maƙalar tana riƙe da adireshinta, ba a sake ƙara hanyoyi ba, kuma saye-saye na TCP da aka kafa yawanci suna wanzuwa da ɗan hutu. Ainihin sake kunnawa yana yaga sayen, yana sake gina maƙalar, wataƙila yana ba da wani adireshin abokin ciniki, kuma yana kashe kowace hanyar sadarwa mai tsawo. Dukansu abubuwan suna na yau da kullum; ɗaya ne kawai daga cikinsu ke bayyana kiran da ya yanke.

journalctl -u openvpn-client@office -b --no-pager | grep -nE 'soft reset|Connection reset|reneg|TLS Error'
openvpn --version | head -n 1

Layin sigar yana da muhimmanci domin kalmomin rajista suna canzawa tsakanin fitowar, kuma saƙon da ka tuna daga 2.3 yana iya zama an rubuta shi daban a 2.6. Karanta naka rajista maimakon guntun dandalin wani. Ka ambaci ainihin layin lokacin da kake neman taimako, domin sake fassarawa yana rasa bayanin da ke gane abin da ya faru. Idan adireshin maƙalar bai canza ba a duk lokacin abin da ya faru kuma jerin saye-saye ya wanzu, kana kallon sabuntawa kuma sauran sassan sun shafi.

Karanta ma'aunin lokaci mai aiki, ba fayil ɗinka ba

reneg-sec shi ne adadin daƙiƙa tsakanin sabunta yarjejeniyar tashar bayanai kuma tsohon ƙimarsa 3600 ne. Kowace gefe tana ɗauke da nata ƙimar, kuma ƙarami daga cikin biyun shi ne ainihin abin da ke haifar da sabuntawa. Wannan doka ɗaya tana bayyana yawancin rahotanni: bayanin abokin ciniki da ke sanya babbar lamba har yanzu ana sake saita shi kowace awa yayin da uwar garken ke riƙe da tsohuwar ƙima.

grep -Rn --include='*.conf' -E 'reneg-sec|reneg-bytes' /etc/openvpn
# server side, including included files
grep -Rn -E '^reneg-sec' /etc/openvpn/server/

Karanta kuma tsarin aiki na uwar garken, har da duk abin da take turawa, kafin ka yanke hukunci daga fayil ɗin abokin ciniki. Sannan ka ɗaga matakin bayani kuma ka kalli tazara ɗaya daga farko zuwa ƙarshe: mataki na 3 ya riga ya nuna layukan sabunta yarjejeniya, kuma tambarin lokaci suna gaya maka ko abin da ya faru yana maimaitawa kowace daƙiƙa 3600 ko kuma yana bin aiki.

Canza shi a inda ake turawa da gaske

Maganin da ke yawo layi ɗaya ne a cikin bayanin abokin ciniki, kuma kusan rabin lokaci ba daidai wuri ba ne. Domin ƙaramin ƙimar gefe ne ke yin nasara, abokin ciniki da ya sanya ma'aunin lokaci a sifili har yanzu uwar garken da ba ta canza ba za ta iya sake yin yarjejeniya da shi.

# on both ends, or on the side that owns the pushed configuration
reneg-sec 0

Inda ake ƙirƙirar bayanai a tsakiya, gyara samfuri maimakon kwafin da aka tura, in ba haka ba tafiyar samar da kaya ta gaba za ta maido da ƙimar da ka cire yanzu. Tabbatar ta hanyar kallon tazara biyu, ba ɗaya ba: sa'a ɗaya mai shiru tana jituwa da ma'aunin da aka sa a 7200.

Yanke shawara kuma abin da zai faru a turawa gauraye. Idan ka tura canjin zuwa ga abokan ciniki da farko, wata taga tana wanzuwa inda uwar garken har yanzu take haifar da sabuntawa; wannan ba shi da lahani amma yana rikitarwa idan kana kallon rajistoci don tabbaci. Canza gefen da ke ɗauke da ƙaramar ƙima da farko kuma alamar za ta ɓace a inda kake tsammani.

Abin da kake barin baya idan ka kashe sabunta yarjejeniya

Sabunta yarjejeniya na yau da kullum tana iyakance tsawon lokacin da saitin maɓallan tashar bayanai ɗaya ke kare zirga-zirga. Kashe ma'aunin lokaci ba ya karya ramin, kuma a kan na'urar sadarwa ta gida ko ƙofar ofis ɗin ƙarami fallasa ta aiki kaɗan ne. Har yanzu ciniki ne, kuma ya cancanci ambaton cinikin kafin ka yi shi. Abin da ke canzawa shi ne tsawon lokacin da saitin maɓalli ɗaya ke kare zama, ba ko ramin yana aiki kwata-kwata ba.

Dalilin da ya dace na kashewa shi ne sake saiti da ke karya wani abu da ba za a iya ci gaba ba: kiran da ke yankewa, zama na tebur na nesa da dole a sake kafa, ajiyar da ke sake farawa daga farko. Idan hutun ba ya ga masu amfani, barin tsohuwar ƙima ba ya kashe komai kuma yana kiyaye juya maɓallan da aka ba ka.

Ka fifita gyara sanadin lokacin da tsarin ya ba da izini. Sabuntawa da ke gazawa a tsakiya yayin da musafaha na farko ya yi nasara tana nuna hanya ne ba ma'aunin lokaci ba: nemi matsalar girman fakiti a cikin babbar musayar tashar sarrafawa, katangar wuta mai yanayi da ke zubar da kwarara, ko shawara da ke yin nasara kawai a ƙoƙari na farko. Kowanne daga cikinsu yana barin alama a cikin wannan rajista da ka karanta yanzu. Kashe ma'aunin lokaci yana ɓoye wannan hujja.

Lokacin da tazarar ta nuna wani wuri

Maƙwabta biyu a cikin tsari suna haifar da alamomi iri ɗaya da gyare-gyare daban-daban. ping-restart yana sake kunna ramin lokacin da babu abin da ya zo na wani lokaci da aka sa, yayin da ping-exit ke saukar da abokin ciniki gaba ɗaya. Saukuwa a lokacin rashin aiki ba tare da wata sabunta yarjejeniya a cikin rajista ba ta nasu ce, ko na na'urar NAT da ta ƙare taswirar UDP bisa nata jadawalin.

Na'urorin sadarwa na masu amfani, wuraren haɗi na wayar hannu da NAT na matakin kamfanin sadarwa duk suna ƙare zaman UDP marasa aiki ba tare da gaya wa kowa ba. Wannan gazawar tana bin rashin aiki ne ba agogo ba, kuma wannan ita ce alama: zama da ke yankewa bayan minti goma shiru kuma ya wanzu awa ɗaya na zirga-zirga tsayayye ba ya sabunta yarjejeniya.

Rubuta abubuwa uku kafin ka canza na huɗu: tazarar da ka auna, ƙimar aiki da ka samu, da umarnin da ya nuna ta. Idan tazarar tana motsi lokacin da ma'aunin lokaci ke motsi, an gane tsarin kuma gyaran shi ne shawara kan cinikin da ke sama. Idan ba ta motsi ba, mayar da saitin kuma ci gaba da kallon keepalive, yanayin NAT da asarar fakiti.