OpenVPN-visszajátszás visszalépése a naplóban: mit nem bizonyít a sor

A sor ezt mondja: PID_ERR replay-window backtrack occurred, és minden keresési találat eldobott csomagként és törött alagútként magyarázza. A Community OpenVPN 2.6 UDP-útvonalán ez az üzenet akkor íródik, amikor a fogadó függvény még dönti el, mit tegyen a csomaggal. Új visszalépési maximumot rögzít, majd ugyanez a függvény összeveti a távolságot az ablakkal és a rögzített állapottal, mielőtt elfogad vagy elutasít. A naplócímke ítéletként való olvasása az a hiba, amelynek megelőzésére ez az ellenőrzőlista létezik.

Első állomás: azonosítsa, mi a sor

Ez a sorozattávolságról szóló diagnosztika, nem döntés egy kapcsolatról. A csomag-ID megvalósításában jelenik meg, ahol az újonnan megfigyelt visszalépési maximumot feljegyzik. Ez a pont az elfogadás vagy elutasítás elágazása előtt van, ezért az ezt kiváltó csomag mégis kézbesíthető.

Erősítse meg, melyik gazdagép írta, és milyen részletességgel. A kiszolgáló és a kliens is bocsáthat ki csomag-ID üzeneteket, és az egyik oldal üzenete semmit sem mond a másik oldal fogadási állapotáról.

Második állomás: keresse meg az adott csomag eredményét

A diagnosztika utáni sorokat olvassa, ne csak magát a diagnosztikát. Ugyanez a függvény továbbhalad az ablak- és duplikátumellenőrzéseihez, így az adott csomag eredménye néhány utasítással később dől el, és akár elfogadás is lehet. A félelmetes sornál végződő naplórészlet semmit sem mond az eredményről. Keressen egy ablakot körülötte, ne magát a sort:

journalctl -u openvpn-server@server --since "-10 min" | grep -n -A3 -B3 "backtrack occurred"

Ha a napló akkor nem mutat elutasítást ehhez a partnerhez, hagyja abba, hogy ezt a sort a kiesés okának tekintse. Lépjen tovább az alkalmazás útvonalára, mert valójában ott végződik a legtöbb csatlakozva, de forgalom nélkül jelentés.

Harmadik állomás: döntse el, valódi-e az újrarendezés

Az újrarendezés az útvonal tulajdonsága, és egy diagnosztika annak egyetlen mintája. Keressen ismétlődő üzeneteket ugyanahhoz a partnerhez rövid ablakban, és hasonlítsa össze a két vég rögzítésével, mielőtt arra jutna, hogy a hálózat agresszíven rendez át.

Néhány üzenet újracsatlakozás közben nem feltűnő. A folyamatos adatfolyam valódi alkalmazás-időtúllépések mellett vizsgálatot érdemel, és ez a kombináció bizonyíték, nem címke.

Negyedik állomás: az ablak paraméterei, és amik nem

replay-window sorozatmérete és opcionális időértéket vesz, így a szélesítése két különböző toleranciát változtat egyszerre. A szám növelése távolabb, a sorrenden kívül eső csomagokat enged be; az időérték korlátozza, mennyi ideig vehető még figyelembe egy csomag. A szélesítés biztonsági költséggel járó szabályzatváltozás, és nem erősít titkosítást, sem nem kapcsolja ki a duplikátumészlelést. A két tolerancia együtt mozog, akár akarta, akár nem.

Egy régi hitelesített csomag továbbra is nem kívánt ismétlődés lehet, ezért tartja meg a fogadó ezeket az ellenőrzéseket. Több újrarendezés elfogadása azt jelenti, hogy többet fogadunk el ebből a kockázatból.

A figyelmeztetés elnémítása a mute-mal azt változtatja meg, amit lát, nem azt, amit a démon tesz. Ha a cél egy ismert esemény alatt csendesebb napló, az legitim üzemeltetési választás; ha a cél egy alagút javítása, az elnémítás elrejti a bizonyítékot.

mute 20
replay-window 64 15

A külső átvitel TCP-re váltása megváltoztatja a kézbesítési és helyreállítási viselkedést, és saját sorfej-blokkolási költségeket ad hozzá. Ez tervezési döntés, nem első válasz egyetlen naplócímkére. A kiszolgáló újratelepítése rosszabb, mert eltörli a különbséget egy statisztika és a valóban meghibásodott határ között.

Ötödik állomás: tesztelje a felhasználó számára fontos útvonalat

Csatlakoztatott alagút mellett futtassa az alkalmazás saját tesztjét, és olvassa ki a választott útvonalát, továbbítási állapotát és visszaútját. Az az alagút, amely csak egy irányban szállít csomagokat, egyáltalán nem termel visszalépési üzeneteket, és ez sokkal gyakoribb, mint a súlyos újrarendezés.

Írja le, mit mért minden állomáson. A feljegyzés az, ami megakadályozza, hogy a következő jelentés újra a félelmetes sornál kezdje, és onnan kifelé dolgozzon.

A csomag-ID megvalósítás mutatja a statisztika és a döntés sorrendjét, a kézikönyv pedig leírja az ablak sorozat- és időtartományát. A kettő együttes olvasása az, ami a félelmetes naplósort ismert mennyiséggé változtatja. Egyik sem mond semmit az Ön konkrét útvonaláról, ezért a fenti mérések továbbra is számítanak.