OpenVPN сығу: бас тарту, тек қабылдау немесе толық LZO?
comp-lzo no қатаң бас тарту емес. Сығудан бас тартуды, көшіру кезіндегі бір жақты қабылдауды және оны сақтауды салыстырып, сосын offload не істейтінін тексеріңіз.
Профильдегі үш жол сығудың барлығын өшіретін сияқты көрінеді, бірақ олардың тек біреуі ғана шынымен солай істейді. Айырмашылық маңызды, өйткені сіз үнсіз қалдырғыңыз келген ескерту — симптом, ал саясат қарсы тараптың әлі сыға алатынын шешеді. Опцияларды бір осьте, яғни өзгерістен кейін әрқайсысы нені рұқсат ететінімен салыстыру белгісіздіктің көп бөлігін жояды. Қайсысын қалайтыныңыз көшу немесе орнығу барысына байланысты.
Конфигурация файлында ұқсас көрінетін үш саясат
Әр опция басқа сұраққа жауап береді. allow-compression no сығылған деректерді тікелей қабылдамайды, allow-compression asym келгенін ашады және кететінін ешқашан сықпайды, ал ескі comp-lzo no қарсы тараптың push арқылы сығуды қосуына орын қалдырады. Тек біріншісі ғана сервер бұза алмайтын саясат.
Таңдамас бұрын үшеуін кестеге жазыңыз, өйткені атаулар тексерушіні шатастырарлықтай жақын. Олардың екеуі әлі күнге қабылданған пакеттерде ашу кодын іске қосады, ал қауіпсіздік дәлелі дәл осы туралы. Үшіншісі бағытты шектеудің орнына мүмкіндікті алып тастайды. Егер өзгеріс жазбасында сығу өшірілген деп жазылса, бұл сөйлемді дәл бір жол қанағаттандырады.
Тексеруді бастаған ескерту мақсат емес. Оны үнсіз қалдырып, рұқсат беруші саясатты қалдырса, таза журнал мен өзгермеген әсер қалады.
| Setting | What it permits | When it is the right answer |
|---|---|---|
allow-compression no | No compressed payloads, and no compression framing under offload | Both ends can be changed now |
allow-compression asym | Decompress inbound only | A dated migration while peers catch up |
comp-lzo no | Off locally, still pushable by a peer | Legacy compatibility you can still justify |
Ескі LZO опциясындағы no нені білдіреді
Ескірген LZO опциясында no жергілікті жақ үшін сығуды өшіреді, бірақ саясат рұқсат ететін жерде қарсы тарапқа оны қосуға тыйым салмайды. Осы асимметрияға байланысты профильді қатаң бас тартуға көшіру мінез-құлықты бір серверлі зертханалық сынақ ешқашан ашпайтын жолдармен өзгертеді.
Қауіпсіздік алаңы шартты, абсолютті емес. Шабуылдаушы таңдалған ашық мәтінді құпияның жанына қойып, сығудың шифрланған трафиктің көлемін қалай өзгертетінін бақылай алса, ақпараттық арна бар. LZO-дан LZ4-ке көшу алгоритм мен қаңқаны өзгертеді, ол механизмді емес.
Сондықтан адал тұжырым қазір қандай алгоритм ұсынылатынын емес, нені рұқсат етуге дайын екеніңізді қозғайды. Қатаң бас тарту — қарсы тараптың ынтымақтастығына тәуелді емес жалғыз нұсқа.
Тек қабылдау — көшу күйі, меже емес
Асимметриялық қабылдау бір жақ сығуды тоқтатып, екіншісі әлі оны күтіп отырған жағдай үшін бар. Бұл көпір, ал көпірге аяқталу күні мен иесі керек. Қай серіктестердің әлі сығылған трафик жіберетінін жазыңыз, өйткені саясат дәл сол трафикке рұқсат береді. Бұл тізім болмаса, көшу күйі инерциямен тұрақты конфигурацияға айналады.
Клиент өз файлын өңдеу арқылы үйлесімсіз серверді ескі қаңқадан бас тартуға мәжбүрлей алмайды. Push бағыты серверде шешіледі, сондықтан көшу шын мәнінде сервер конфигурациясында және оның әр клиентке арналған файлдарында аяқталады.
Stub режимдері қаңқаны сақтайды, бірақ сығу жұмысының өзін өткізіп жібереді және олар ескі опцияның тікелей баламасы емес. Біреуін таңдамас бұрын оларды әлі қолдауыңыз керек ең көне серіктесте сынап көріңіз.
Деректер арнасының offload-ы жауапты қай жерде өзгертеді
Деректер арнасының offload-ы пакеттерді өңдеуді ядроға көшіреді, ал әлі сығу қаңқасына тәуелді профиль бұл жолға сыймауы мүмкін. Сәтсіздік әрдайым дауысты бола бермейді: клиент қосылады, содан кейін сіз сынаған туннельден өзгеше әрекет етеді.
Өзгеріске дейін және кейін қай іске асыру белсенді екенін тексеріңіз, тек қосылымның сәтті болғанын ғана емес. Offload жолы сығу қаңқасынан бас тартқанда, қатаң бас тарту саясаты мен offload орналастыруы сәйкеседі, ал рұқсат беруші саясат пен offload орналастыруы сәйкеспейді.
Бұл үйлесім жеке сынаққа лайық, өйткені дұрыс көрінетін файл дәл сол жерде үнсіз қолданыстағы файл болмай қалады. Келісілген күйді профильде жазылған ниетпен салыстырыңыз, өйткені олардың тек біреуі ғана журналда көрінеді.
Саясат таңдап, сосын келісілген нәтижені тексеріңіз
Екі жақты да өзгерте алсаңыз қатаң бас тартуды, әлі алмасаңыз асимметриялық қабылдауды, ал толық сығуды тек әсердің неге қолайлы екенін түсіндіре алғанда ғана таңдаңыз. Сосын файл не дейтінін емес, не келісілгенін тексеріңіз. Тыныш журнал тек қана орналастыруды көздеген саясатқа сәйкес келгенде дәлел болады.
Шешімді ол қатысты профильдің қасында, күнімен және әлі босатылған серіктестермен бірге ұстаңыз. Жарты жылдан кейін бұл жазба әдейі жасалған ерекшелік пен ешкім күнін айта алмайтын оқиғаның арасындағы айырмашылық. Оны профильмен бір репозиторийде жазыңыз, сонда келесі редактор себепті нұсқаулықтан бұрын көреді.