OpenVPN heldur áfram að reyna eftir TLS-villu: hvernig á að stöðva það

Biðlarinn tengist, mistekst í TLS-samningaviðræðum, bíður og reynir sama netþjón aftur með sama árangri. Undir eftirlitsaðila sem endurræsir misheppnað ferli verða þessar tilraunir endalaus lykkja í dagbókinni, og fyrsta greiningarlínan hverfur úr augsýn. OpenVPN býður valkost sem breytir þessum samningamistökum í sýnilega útgöngu í stað annarrar tilraunar. Þetta er stilling fyrir greiningu og eftirlit, ekki viðgerð, svo paraðu hana við stefnu sem leyfir ferlinu í raun að vera niðri.

Hringurinn sem felur fyrstu villuna

Það sem þú sérð er endurtekin blokk en ekki ein mistök: tengingartilraun, TLS-villa, hlé og svo sama röðin. Sérhver endurtekning ýtir upprunalegu línunni ofar í dagbókinni. Ef einingin endurræsir við mistök getur hringurinn haldið áfram í klukkustundir án þess að nokkur lesi orsökina. Einkennið er lykkjan, þó að undirliggjandi galli sé eitt samningavandamál.

Gagnvirk lotur þola þetta því að skammvinn mistök geta hreinsast við næstu tilraun. Sjálfvirkar tengingar geta ekki leyft sér sömu bjartsýni: ferlið verður að stöðvast svo maður eða eftirlitskerfi sjái stöðuna.

Áður en þú breytir einhverju skaltu skrá eina heila lotu. Skráðu fjartengda vistfangið, TLS-stigið sem nefnt er í villunni og hvort ferlið hættir yfirleitt.

Endurtekningarvélbúnaðurinn bak við lykkjuna

Endurtekning er sjálfgefin því að nokkur ótengd tímamörk deila sama vélbúnaði. connect-retry stillir bilið milli tengingartilrauna, connect-retry-max getur takmarkað hversu oft hver fjartengd færsla er reynd, og resolv-retry stýrir endurteknum nafnleitum. Samningamistök TLS ná til þessa vélbúnaðar sem flutningsatburðar, svo biðlarinn tímasetur aðra tilraun í stað þess að tilkynna. Sjálfgefið gildi hjálpar á óstöðugum tengli og skaðar galla sem getur ekki gróið.

Valkosturinn --tls-exit breytir aðeins samningatilfellinu. Handbókin lýsir honum sem útgöngu við samningamistök TLS, sem er þrengra en útganga við hverja villu. Tímamörk, villur í leysinum og höfnun auðkenningar halda eigin hegðun.

Láta biðlarann hætta við TLS-mistök

Settu tls-exit í prófílinn sem biðlarinn hleður í raun, eða gefðu --tls-exit við ræsingu, og keyrðu hann einu sinni í forgrunni. Lestu útgöngustöðuna og síðustu dagbókarlínuna, því að staðan er það sem eftirlitsaðili bregst við. Útganga sem er ekki núll eftir samningamistök er ætluð niðurstaða. Ef ferlið heldur áfram að reyna í stað þess að enda er valkosturinn ekki í prófílnum sem biðlarinn hleður í raun.

Eftirlitsaðilinn ákveður hvort sú útganga sé sýnileg. systemd-eining með Restart=always eða Restart=on-failure ræsir biðlarann aftur, svo lykkjan heldur áfram og valkosturinn virðist gera ekki neitt. Athugaðu stefnuna áður en þú kennir biðlaranum um:

systemctl show -p Restart -p RestartSec openvpn-client@office
journalctl -u openvpn-client@office -n 40 --no-pager

Restart=no leyfir ferlinu að vera niðri, og Restart=on-failure endurræsir samt eftir stöðu sem er ekki núll. Ef þú vilt að mistökin séu sýnileg en þjónustan jafni sig eftir ótengd hrun skaltu stilla Restart=on-failure og nota StartLimitBurst og StartLimitIntervalSec til að stöðva endurræsingarstorminn. Lestu síðan stöðu einingarinnar til að staðfesta síðasta útgöngukóðann: systemctl status tilkynnir hann, og dagbókin heldur fyrstu villunni yfir endurræsingunum.

Skrifaðu ákvörðunina í eininguna eða í prófílminnispunktana. Prófíll sem hættir við TLS-mistök lítur út eins og slys fyrir næsta mann nema ástæðan sé skráð. Tilgreindu hvaða mistök eigi að stöðva ferlið og hver eigi að reyna aftur.

Sannaðu það með einnota endapunkti

Til að sjá hegðunina áður en þú treystir henni skaltu afrita prófílinn og beina afritinu að endapunkti sem tekur við TCP-tengingu en talar aldrei OpenVPN. Hlustandi sem svarar og þagnar svo er nóg. Með tls-exit ætti biðlarinn að enda þegar handabandið mistekst; án hans ætti sami prófíll að halda áfram að snúast. Notaðu afritið, aldrei vinnuprófílinn.

Berðu saman keyrslurnar tvær eftir útgöngustöðu og fyrstu villulínunni, ekki eftir því hversu lengi hvor stóð. Staðan segir hvort valkosturinn virkaði, og fyrsta línan segir hvaða stig mistókst.

Fjarlægðu prófunarprófílinn þegar þú ert búinn. Afrit með viljandi röngum endapunkti er gildra fyrir hvern þann sem ræsir síðar hvern prófíl í möppunni.

Stig sem þessi valkostur nær aldrei

Höfnun auðkenningar er síðara stig. Ef netþjónninn metur reikninginn og hafnar honum er TLS þegar samið, svo tls-exit grípur ekki inn. Endurtekningarstillingar auðkenningar eru næsti staður til að skoða, og ástæða netþjónsins skiptir meira máli en síðasta lína biðlarans. Rangt lykilorð og vantar skírteini geta framleitt svipuð skilaboð á biðlarahlið.

Vantað slóð, rangur leysir eða óaðgengileg gátt eru líka utan valkostsins, því þau eru ekki samningamistök. Þögult pakkatap er óljósasta tilfellið: eftir því hversu langt skiptin komust getur biðlarinn tilkynnt samningamistök eða einfaldlega farið yfir tímann.

Haltu aðgreiningunni í minnispunktunum. Stillingin er fyrir greiningu og eftirlit frekar en viðgerð, svo hún lagar ekki ósamræmi í dulritun, skírteinisvandamál eða ranga gátt. Lagaðu fyrst orsök misheppnuðu samningaviðræðnanna og ákveddu svo hvort tafarlaus útganga henti uppsetningunni enn.