OpenVPN-slit á klukkustundar fresti: endursamningur eða raunveruleg endurtenging?

Sexíu mínútur, eða þrjátíu, eða hundrað og tuttugu: slit sem lendir á kringluðu bili er næstum aldrei netið. OpenVPN endurnýjar á tímastilli lyklaefnið sem verndar gagnarásina, og tímastillir styttri en sá sem þú reiknaðir með lítur nákvæmlega út eins og tenging sem mistekst aftur og aftur. Notendur tilkynna brotið samband á meðan loggið tilkynnir árangursrík skipti á lyklum. Leiðbeiningin hér að neðan aðgreinir þá endurnýjun frá raunverulegri endurræsingu, les gildið sem raunverulega er í gildi og breytir því aðeins eftir að kostnaðurinn er á borðinu.

Farðu í skrefin í réttri röð, því það fyrsta ræður því hvort restin af síðunni á við þig yfirleitt. Ef þú stekkur fram verður þú að eyða kvöldi í að stilla tímastill fyrir bilun sem hefur ekkert með hann að gera.

Greindu mjúka endurstillingu frá endurræsingu

Logglínan er öll greiningin. Endursamningur skrifar mjúka endurstillingu og síðan ný skipti á lyklum inni í sama göngunum: viðmótið heldur heimilisfangi sínu, leiðum er ekki bætt við aftur, og komin TCP-tengsl lifa yfirleitt af með hléi. Raunveruleg endurræsing rífur sambandið, endurbyggir viðmótið, gefur kannski annað biðlarafang og drepur sérhvert langlíft samband. Báðir atburðir eru venjulegir; aðeins annar þeirra útskýrir rofið símtal.

journalctl -u openvpn-client@office -b --no-pager | grep -nE 'soft reset|Connection reset|reneg|TLS Error'
openvpn --version | head -n 1

Útgáfulínan skiptir máli því orðalag logsins færist milli útgáfa, og skilaboð sem þú manst frá 2.3 geta verið orðuð öðruvísi í 2.6. Lestu þitt eigið logg frekar en þingtileinkunn annars. Vitnaðu í nákvæmu línuna þegar þú biður um hjálp, því endursögn tapar smáatriðinu sem greinir atburðinn. Ef heimilisfang viðmótsins er óbreytt yfir atburðinn og sambandslistinn lifir af, ertu að horfa á endurnýjun og hinar kaflarnir eiga við.

Lestu virka tímastillinn, ekki skrána þína

reneg-sec er fjöldi sekúndna milli endursamninga gagnarásarinnar og sjálfgefið gildi er 3600. Hvor hlið ber sitt eigið gildi, og það minna af tveimur er það sem raunverulega hleypir af stað endurnýjuninni. Þessi eina regla útskýrir flestar tilkynningar: biðlarasnið sem setur stóra tölu er samt endurstillt á klukkustundar fresti meðan þjónninn heldur sjálfgefna gildinu.

grep -Rn --include='*.conf' -E 'reneg-sec|reneg-bytes' /etc/openvpn
# server side, including included files
grep -Rn -E '^reneg-sec' /etc/openvpn/server/

Lestu einnig virka uppsetningu þjónsins, þar á meðal allt sem hann ýtir, áður en þú dregur ályktun af biðlaraskránni. Hækkaðu þá smáatriðastigið og fylgdu einu bili frá byrjun til enda: stig 3 sýnir þegar endursamningslínurnar, og tímarit segja þér hvort atburðurinn endurtekst á 3600 sekúndna fresti eða fylgir virkni.

Breyttu því þar sem það er raunverulega ýtt

Hringlaða lækningin er ein lína í biðlarasniðinu, og það er rangur staður um það bil helminginn af tímanum. Þar sem lægra gildi hliðarinnar vinnur, getur biðlari sem setur tímastillinn á núll samt verið endursaminn af þjóni sem breyttist ekki.

# on both ends, or on the side that owns the pushed configuration
reneg-sec 0

Þar sem snið eru búin til miðlægt, breyttu sniðmátinu en ekki uppsettu eintakinu, annars endurheimtir næsta úthlutunarkeyrsla gildið sem þú varst að fjarlægja. Staðfestu með því að fylgjast með tveimur bilum, ekki einu: ein kyrrlát klukkustund er í samræmi við tímastill sem var settur á 7200.

Ákveddu líka hvað gerist við blandaða uppsetningu. Ef þú rúllar breytingunni fyrst út til biðlara verður eftir gluggi þar sem þjónninn hleypir enn af stað endurnýjuninni; það er meinlaust en ruglandi ef þú fylgist með loggunum til staðfestingar. Breyttu fyrst þeirri hlið sem heldur minna gildinu og einkennin hverfa á þeim stað sem þú býst við.

Hverju þú gefur eftir með því að slökkva á endursamningi

Reglubundinn endursamningur takmarkar hversu lengi eitt sett gagnarásarlykla verndar umferð. Að slökkva á tímastillnum brýtur ekki göngin, og á heimilisbeini eða litlum skrifstofugáttum er hagnýt áhætta hófleg. Það er samt skipti, og skiptin eru þess virði að nefna áður en þú gerir þau. Það sem breytist er hversu lengi eitt lyklasett verndar lotu, ekki hvort göngin virka yfirleitt.

Hæfilegt tilfelli fyrir að slökkva á því er endurstilling sem brýtur eitthvað sem ekki er hægt að halda áfram: símtal sem dettur, fjarskiptaborðslota sem þarf að koma aftur upp, öryggisafrit sem byrjar frá byrjun. Ef hléið er ósýnilegt notendum kostar að halda sjálfgefna gildinu ekkert og varðveitir lyklaveltuna sem þú fékkst.

Veldu frekar að laga orsökina þegar mynstrið leyfir. Endurnýjun sem mistekst hálfa leið á meðan fyrsta handtakið tókst bendir á slóðina frekar en tímastillinn: leitaðu að pakkastærðarvandamáli í stærri skiptum stýrirásarinnar, ástandsbundnum eldvegg sem sleppir flæðinu, eða tillögu sem tekst aðeins í fyrstu tilraun. Sérhvert þeirra skilur eftir sig spor í sama logginu og þú varst að lesa. Að slökkva á tímastillnum felur þá sönnun.

Þegar bilið bendir annað

Tveir nágrannar í uppsetningunni framleiða svipuð einkenni og mismunandi lagfæringar. ping-restart endurræsir göngin þegar ekkert berst í tiltekinn tíma, en ping-exit tekur biðlarann algjörlega niður. Aðgerðalaust slit án nokkurs endursamnings hvar sem er í logginu tilheyrir þessum, eða NAT-tæki sem lét UDP-kortlagninguna renna út samkvæmt sínu eigin áætlun.

Neytendabeinar, ferðahnappar og NAT á flutningsaðilastigi láta allir aðgerðalaus UDP-lotur renna út án þess að segja neinum. Sú bilun fylgir aðgerðarleysi frekar en klukkunni, og það er vísbendingin: lota sem dettur eftir tíu kyrrlátar mínútur og lifir af klukkustund af jafnri umferð er ekki að endursemja.

Skrifaðu niður þrjá hluti áður en þú breytir þeim fjórða: bilið sem þú mældir, virka gildið sem þú fannst og skipunina sem sýndi það. Ef bilið hreyfist þegar tímastillinn hreyfist er ferlið auðkennt og lagfæringin ákvörðun um skiptin hér að ofan. Ef það hreyfist ekki skaltu setja stillinguna aftur og halda áfram að fylgjast með keepalive, NAT-stöðu og pakkatapi.