Ժամային OpenVPN ընդհատում. վերաբանակցում, թե՞ իրական վերակապակցում

Վաթսուն րոպե, կամ երեսուն, կամ հարյուր քսան: կլոր միջակայքի վրա ընկած անջատումը գրեթե երբեք ցանցը չէ։ OpenVPN ժամաչափով թարմացնում է տվյալների ալիքը պաշտպանող բանալիային նյութը, և ձեր ենթադրածից կարճ ժամաչափը ճիշտ այնպես է երևում, ինչպես անընդհատ ձախողվող կապը։ Օգտատերերը հաղորդում են կտրված կապի մասին, մինչդեռ մատյանը հաղորդում է բանալիների հաջող փոխանակության մասին։ Ներքևի ուղեցույցը առանձնացնում է այդ թարմացումը իրական վերագործարկումից, կարդում է իրականում գործող արժեքը և փոխում է այն միայն այն բանից հետո, երբ ծախսը դրված է սեղանին։

Քայլերը կատարեք հերթականությամբ, որովհետև առաջինը որոշում է՝ արդյոք էջի մնացած մասը ձեզ ընդհանրապես վերաբերում է։ Եթե առաջ անցնեք, երեկոն կանցկացնեք ժամաչափ կարգավորելով մի խափանման համար, որը դրա հետ կապ չունի։

Տարբերակեք փափուկ վերակայումը վերագործարկումից

Մատյանի տողը ամբողջ ախտորոշումն է։ Վերաբանակցումը գրում է փափուկ վերակայում, ապա նոր բանալիների փոխանակում նույն թունելի ներսում: ինտերֆեյսը պահում է իր հասցեն, երթուղիները նորից չեն ավելացվում, և հաստատված TCP նստաշրջանները սովորաբար վերապրում են դադարով։ Իրական վերագործարկումը պատռում է նստաշրջանը, վերակառուցում է ինտերֆեյսը, կարող է տալ այլ հաճախորդի հասցե և սպանում է յուրաքանչյուր երկարատև կապ։ Երկու իրադարձություններն էլ սովորական են: դրանցից միայն մեկն է բացատրում կտրված զանգը։

journalctl -u openvpn-client@office -b --no-pager | grep -nE 'soft reset|Connection reset|reneg|TLS Error'
openvpn --version | head -n 1

Տարբերակի տողը կարևոր է, որովհետև մատյանի ձևակերպումը փոխվում է թողարկումների միջև, և 2.3-ից հիշված հաղորդագրությունը 2.6-ում կարող է այլ կերպ ձևակերպված լինել։ Կարդացեք ձեր սեփական մատյանը, ոչ թե ուրիշի ֆորումի հատվածը։ Երբ օգնություն եք խնդրում, մեջբերեք ճշգրիտ տողը, որովհետև վերապատումը կորցնում է իրադարձությունը նույնականացնող մանրամասը։ Եթե իրադարձության ընթացքում ինտերֆեյսի հասցեն անփոփոխ է, և նստաշրջանների ցանկը վերապրում է, դուք տեսնում եք թարմացում, և մնացած բաժինները կիրառելի են։

Կարդացեք գործող ժամաչափը, ոչ թե ձեր ֆայլը

reneg-sec-ը տվյալների ալիքի վերաբանակցումների միջև վայրկյանների թիվն է, և դրա լռելյայն արժեքը 3600 է։ Յուրաքանչյուր կողմ կրում է իր արժեքը, և երկուսից փոքրը հենց այն է, ինչ իրականում գործարկում է թարմացումը։ Այս մեկ կանոնը բացատրում է հաղորդումների մեծ մասը: մեծ թիվ սահմանող հաճախորդի պրոֆիլը դեռևս զրոյացվում է ամեն ժամ, մինչ սերվերը պահում է լռելյայնը։

grep -Rn --include='*.conf' -E 'reneg-sec|reneg-bytes' /etc/openvpn
# server side, including included files
grep -Rn -E '^reneg-sec' /etc/openvpn/server/

Կարդացեք նաև սերվերի գործող կոնֆիգուրացիան, ներառյալ այն ամենը, ինչ այն հրում է, նախքան հաճախորդի ֆայլից եզրակացություն անելը։ Այնուհետև բարձրացրեք մանրամասնությունը և մեկ միջակայք դիտեք սկզբից մինչև վերջ: 3-րդ մակարդակն արդեն ցույց է տալիս վերաբանակցման տողերը, և ժամանակադրոշմերը ասում են՝ իրադարձությունը կրկնվում է ամեն 3600 վայրկյանը, թե հետևում է ակտիվությանը։

Փոխեք այնտեղ, որտեղ այն իրականում հրվում է

Շրջանառվող դեղամիջոցը հաճախորդի պրոֆիլում մեկ տող է, և դա սխալ տեղ է ժամանակի մոտ կեսին։ Քանի որ հաղթում է կողմի ավելի ցածր արժեքը, ժամաչափը զրոյի դնող հաճախորդը դեռ կարող է վերաբանակցվել չփոփոխված սերվերի կողմից։

# on both ends, or on the side that owns the pushed configuration
reneg-sec 0

Երբ պրոֆիլները ստեղծվում են կենտրոնացված, խմբագրեք ձևանմուշը, ոչ թե տեղակայված պատճենը, այլապես հաջորդ մատակարարման գործարկումը կվերականգնի հենց նոր հեռացրած արժեքը։ Ստուգեք՝ դիտելով երկու միջակայք, ոչ մեկը: մեկ հանգիստ ժամը համահունչ է նաև 7200-ի վրա դրված ժամաչափին։

Որոշեք նաև, թե ինչ է լինում խառը տեղակայման դեպքում։ Եթե փոփոխությունը նախ տարածեք հաճախորդներին, մնում է մի պատուհան, որտեղ սերվերը դեռ գործարկում է թարմացումը: դա անվնաս է, բայց շփոթեցնող, եթե հաստատման համար հետևում եք մատյաններին։ Նախ փոխեք այն կողմը, որն ունի ավելի փոքր արժեքը, և ախտանիշը կվերանա այն կետում, որը սպասում եք։

Ինչից եք հրաժարվում՝ անջատելով վերաբանակցումը

Կանոնավոր վերաբանակցումը սահմանափակում է, թե որքան ժամանակ է տվյալների ալիքի բանալիների մեկ հավաքածուն պաշտպանում երթևեկությունը։ Ժամաչափն անջատելը չի կոտրում թունելը, և տնային երթուղիչի կամ փոքր գրասենյակի դարպասի վրա գործնական ազդեցությունը համեստ է։ Դա դեռ փոխանակում է, և արժե այդ փոխանակումը նշել նախքան այն կատարելը։ Փոխվում է այն, թե որքան ժամանակ է մեկ բանալիների հավաքածուն պաշտպանում նստաշրջանը, ոչ թե այն՝ արդյոք թունելն ընդհանրապես աշխատում է։

Անջատելու ողջամիտ դեպքը վերակայումն է, որը կոտրում է անշարունակելին: կտրվող զանգ, վերահաստատման կարիք ունեցող հեռավոր աշխատասեղանի նստաշրջան, սկզբից վերսկսվող պահուստավորում։ Եթե դադարը օգտատերերի համար անտեսանելի է, լռելյայնը պահելը ոչինչ չի արժենա և կպահպանի ձեզ տրված բանալիների պտույտը։

Նախընտրեք շտկել պատճառը, երբ օրինաչափությունը թույլ է տալիս։ Այն թարմացումը, որը ձախողվում է կիսաճանապարհին, մինչ առաջին ձեռքսեղմումը հաջողվել էր, մատնանշում է ուղին, ոչ թե ժամաչափը: փնտրեք փաթեթի չափի խնդիր վերահսկիչ ալիքի ավելի մեծ փոխանակման մեջ, հոսքը գցող վիճակային հրաբաշխ, կամ առաջարկ, որը հաջողվում է միայն առաջին փորձից։ Դրանցից յուրաքանչյուրը հետք է թողնում նույն մատյանում, որը հենց նոր կարդացիք։ Ժամաչափն անջատելը թաքցնում է այդ ապացույցը։

Երբ միջակայքը մատնանշում է ուրիշ տեղ

Կոնֆիգուրացիայի երկու հարևաններ տալիս են նման ախտանիշներ և տարբեր շտկումներ։ ping-restart-ը վերագործարկում է թունելը, երբ սահմանված ժամանակահատվածում ոչինչ չի ժամանում, մինչդեռ ping-exit-ը հաճախորդին ամբողջությամբ իջեցնում է։ Մատյանում ոչ մի տեղ վերաբանակցում չունեցող պարապ անջատումը պատկանում է սրանց կամ NAT սարքի, որը UDP քարտեզագրումը ժամկետանց է դարձրել իր սեփական գրաֆիկով։

Սպառողական երթուղիչները, բջջային հոթսփոթները և օպերատորական մակարդակի NAT-ը բոլորն էլ ժամկետանց են դարձնում պարապ UDP նստաշրջանները՝ ոչ մեկին չասելով։ Այդ խափանումը հետևում է պարապությանը, ոչ թե ժամացույցին, և դա է նշանը: նստաշրջանը, որն ընկնում է տասը հանգիստ րոպեից հետո և վերապրում է մեկ ժամ կայուն երթևեկություն, վերաբանակցում չի անում։

Գրեք երեք բան նախքան չորրորդը փոխելը: ձեր չափած միջակայքը, ձեր գտած գործող արժեքը և հրահանգը, որը ցույց տվեց այն։ Եթե միջակայքը շարժվում է, երբ ժամաչափը շարժվում է, մեխանիզմը նույնականացված է, և շտկումը վերևի փոխանակման մասին որոշում է։ Եթե այն չի շարժվում, վերադարձրեք կարգավորումը և շարունակեք նայել keepalive-ներին, NAT-ի վիճակին և փաթեթների կորստին։