Hvers vegna OpenVPN-skjávarpinn þinn helst niðri eftir eitt tímamark

Mánudagsmorgun: göngin sem komu upp á föstudag eru farin, viðmótið er enn skráð, og ekkert í annálnum segir að nokkur hafi tekið eftir því. Hýsillinn er á netinu, mælaborðið er grænt, og allt sem hann sendi um helgina fór út um líkamlega viðmótið í staðinn. Hér vantar tvær óháðar ákvarðanir: eina um hvort ferli skjávarpans lifi af skammvinnri bilun og eina um hvort eitthvað fyrir ofan það ræsi ferlið aftur eftir að það hættir. Að laga aðeins aðra skilur hina eyðuna eftir opna.

Byrjaðu á því sem einingin gerði í raun, ekki á því sem eftirlitið fullyrðir. systemctl status openvpn-client@office og journalctl -u openvpn-client@office -n 50 sýna ástæðu brotthvarfsins og síðustu línuna sem skjávarpinn skrifaði áður en hann fór.

Ferlið hætti áður en nokkur tók eftir því

Skjávarpi sem hverfur án villu hefur venjulega hætt viljandi. Prófíllinn ræður þeirri hegðun, ekki þjónustustjórinn: ping-exit endar ferlið um leið og mótaðilinn hættir að svara, en ping-restart heldur ferlinu og tengist aftur inni í því. Session-mörk og tímatökur aðgerðarleysis gefa sömu mynd að utan: engin göng og engin viðvörun.

Ping-leiðbeiningarnar tvær geta ekki verið saman í einum prófíl, svo veldu aðra og skráðu valið. Skoðaðu líka þjóninn, því hans eigin ping-exit lokar session sama hvað skjávarpinn bað um, og aðeins annáll þjónsins skráir hver tók þá ákvörðun.

Velja milli ping-exit og ping-restart

Veldu ping-restart fyrir fartölvu eða afskekktan stað sem á að lækna sig sjálfur, og geymdu ping-exit fyrir tilvik þar sem dauð göng verða að stöðva ferlið svo eitthvað annað geti brugðist við því. Tölurnar skipta minna máli en sambandið: ping 10 með ping-restart 60 þýðir tíu sekúndur af þögn fyrir prófun og sextíu fyrir endurræsingu, sem er ágengt á tapi bundnu farsímasambandi og sanngjarnt á snúru. Skrifaðu ástæðuna við línuna, annars mun næsti lesandi gera ráð fyrir að sjálfgefnu gildin hafi verið viljandi.

Staðfestu síðan að það sé ferlið sem hætti í raun. Eining sem tilkynnir virkni á meðan göngin eru dauð er önnur bilun, sem fjallað er um neðar.

Eftirlit sem endurræsir eininguna í raun

Á systemd-hýsli er minnsta varanlega breytingin ein drop-in skrá: Restart=on-failure og RestartSec=10 í /etc/systemd/system/[email protected]/restart.conf. Drop-in er aðeins lesin þegar systemd hleður skilgreiningum sínum aftur, svo keyrðu systemctl daemon-reload á eftir. Staðfestu með systemctl show -p Restart -p ExecMainStatus openvpn-client@office í stað þess að gera ráð fyrir að gildið hafi komið. Tilvikið í skráarnafninu verður að vera prófíllinn sem einingin hleður í raun, svo skrá skrifuð fyrir office gerir ekkert fyrir openvpn-client@home.

on-failure hunsar eitt tilvik: hreint brotthvarf með stöðuna núll. Sumar niðurrifsleiðir enda þannig, svo lestu skráðu stöðuna í stað þess að treysta orðalagi handbókarsíðu. Ef skjávarpinn þinn gefst upp með núll þarftu Restart=always, og kostnaðurinn er að virkilega bilaður prófíll kemur aftur og aftur þar til ræsingarhraðamarkið grípur inn og annállinn fyllist.

Restart=always kviknar líka eftir viljandi stöðvun. Notaðu systemctl stop við viðhald, og fela eininguna ef hún verður að vera niðri á meðan þú vinnur.

Náðu lekanum á meðan göngin eru niðri

Eftirlitið kemur göngunum aftur; það kemur ekki í veg fyrir að umferð fari út á meðan göngin vantar. persist-tun heldur tækinu og leiðum þess á milli endurtenginga, sem er þægilegt og opnar glugga. Tækið lifir af, leiðirnar stefna enn á það, og pakkarnir streyma út óvarðir og án tilkynningar. Það er stefnuákvörðun, ekki hlutlaust sjálfgefið gildi.

Þegar hýsli má alls ekki senda frá sér óvarða pakka, getur aðeins eldveggurinn tryggt það. Útleiðarregla sem leyfir viðmót ganganna og vistfang VPN-þjónsins en hendir öllu öðru heldur gildi sínu eftir að skjávarpinn deyr, og ekkert í eigin stillingum skjávarpans getur síað umferð sem skjávarpinn flytur ekki.

Prófaðu það með því að stöðva skjávarpann viljandi. Keyrðu systemctl stop openvpn-client@office, svo curl -m 5 https://example.com, sem ætti að mistakast í stað þess að takast yfir líkamlega tenginguna. Árangur þýðir að eldveggsreglan vantar eða er of leyfandi.

Tengdu aftur, staðfestu að göngin flytji umferð á ný, og bættu aðeins þá prófuninni við eftirlitið. Að kanna ip addr úr cron fyrir tun tæki er eftirlitið sem mistekst oftast, því með persist-tun lifir tækið session lengur og prófunin tilkynnir heilsu á meðan ekkert er flutt.