Hvað persist-tun og persist-key lifa í raun af í OpenVPN

Stöðvun þjónustunnar fjarlægir viðmótið jafnvel með persist-tun stillt. Það er valkosturinn að virka eins og skjalfest er, ekki bilun. Valkosturinn lýsir einni endurræsingarleið inni í keyrandi ferli, og systemctl stop er ekki sú leið.

Lestu nöfnin tvö saman og hönnunin verður skýr. Eitt heldur lýsandi, hitt heldur lykilefni, og bæði eru til vegna þess sem gerist eftir að réttindum er sleppt.

Auðlindirnar tvær og endurræsingin sem þær tilheyra

OpenVPN gefur til kynna sína eigin endurræsingu í tveimur venjulegum aðstæðum. Skýrt SIGUSR1 gerir það, og ping-restart sem dauður jafningi veldur gerir hið sama. Bæði halda ferlinu lifandi og keyra tengingaruppsetninguna aftur, og þar eiga valkostirnir sér stað.

Aðeins röðin um mjúka endurræsingu er það sem þessir tveir valkostir breyta, og vinnan sem þeir sleppa er dýri hlutinn á annasömum tengli. Enduropnun tækis rífur niður heimilisföngin og leiðirnar sem hanga á því, og endurbygging þeirra getur dottið pakka sem voru á leið þegar endurræsingin hófst. Stöðvun eyðileggur sömu hluti án nokkurs valkosts að varðveita þá.

Hvers vegna valkostirnir eru yfirleitt til

Herða OpenVPN-þjónn byrjar venjulega sem root, opnar lyklana sína og tækið sitt og fer síðan yfir í notanda án réttinda. Eftir þá yfirfærslu eru sumar aðgerðir einfaldlega horfnar. Að lesa lykilskrá í ham 0600, búa til netviðmót eða breyta leiðum getur allt verið hafnað.

Án persist-valkostanna myndi jafningi sem þegir nógu lengi til að kalla fram ping-restart þvinga fram einmitt þessar aðgerðir. Endurtengingin myndi mistakast þótt ekkert í stillingunum hefði breyst. Ferlið myndi líta út eins og það dæi án ástæðu, og annálin myndi sýna réttindavillu í stað netvillu.

Með þeim endurnýtir mjúka endurræsingin það sem réttindafasið hefur þegar fengið. Engin galdrar eru í gangi og ferlið lifir ekkert af. Öflun auðlinda er einfaldlega frestað.

Lestu fyrstu villuna, ekki þá síðustu

Þegar endurræsing mistekst skaltu lesa fyrstu villuna í stað þeirrar síðustu. Vernduð lykill, auth-skrá, viðmóts-ioctl og ytri krókur eru fjórar mismunandi auðlindir. Að halda einni segir ekkert um aðgang að hinum. Krókur sem kallar eldveggjartól þarf enn réttindin sem tólið krefst.

Krókar hafa sinn eigin rofa. OpenVPN-handbókin parar persist-valkostina við up-restart, sem ræður því hvort up- og down-skrifturnar keyra aftur eftir endurræsingu. Viðmót sem varð eftir uppi segir þér því ekkert um hvort resolver-samþættingin þín var endurnýjuð.

# which restart path just happened?
journalctl -u openvpn-client@office --since '10 min ago' | grep -E 'SIGUSR1|ping-restart|Restart pause|NOTE:'

# did the interface survive, and do its routes still exist?
ip -brief link show tun0
ip route show dev tun0

Þetta par skipana aðgreinir fyrirliggjandi bilanatilvik á sekúndum. Viðmót sem er til staðar með leiðir sem vantar er króka- eða leiðarvandamál. Viðmót sem hvarf þýðir að ferlið endaði í raun.

Varðveitt viðmót er ekki kill switch

Ef krafan er að umferð fari aldrei út fyrir göngin skilar varðveitt tæki því ekki. Leiðir fyrir hina heimilisfangafjölskylduna, önnur sjálfgefin leið og tilfellið þar sem ferlið hættir algjörlega eru öll utan gildissviðs valkostsins.

Meðhöndlaðu kröfurnar tvær aðskilið. Að halda gönguhlutanum milli endurtenginga er þægindi fyrir dæmoninn. Að loka útgangi þegar göngin eru niðri er eldveggjarstefna með eigin reglum og eigin prófun. Að blanda þeim saman framleiðir stillingu sem lítur varnarlega út og hagar sér eins og endurtenging að bestu getu.

Nefndu atburðinn áður en þú greinir hann. Mjúk endurræsing, misheppnuð tengingartilraun og stöðvun þjónustu eru þrír atburðir með þrjú hegðunarmynstur, og aðeins sá fyrsti er það sem þessir valkostir lýsa.