OpenVPN: жергілікті байланыстыру жүктелу кезінде сәтсіз — күту немесе қайталау
Жергілікті мекенжай әлі көтерілмесе, OpenVPN байланыстыра алмайды. Шектеулі күтуді қайта іске қосу саясатымен салыстырып, network-online.target неге кепілдік еместігін көріңіз.
Жүктелу кезінде іске қосылмайтын OpenVPN сервері үшін екі шешім ұсынылады: мекенжайды күту немесе байланыстыру сәтті болғанша қызметтің қайта әрекеттенуіне жол беру. Екеуі де бір белгіні әртүрлі сәтсіздік мінезімен шешеді. Күту нақты алғышартты кодтайды және ол болмағанда қатты сәтсіз болады; қайталау алғышартты жасырып, әрекеттенуді жалғастырады. Қайсысы сіздің бірлігіңізге тиесілі екені сол мекенжайдың жобаланған тәуелділік пе, әлде уақыт кездейсоқтығы ма екеніне байланысты.
Екеуі де тіркелген ұйқыдан жақсы, ол ештеңені күтпейді және нені күткенін де хабарламайды.
local опциясы шын мәнінде нені талап етеді
local демонның өз socket-ін байланыстыратын мекенжайды атайды, ал әлі жоқ мекенжайға байланыстыру сұралған мекенжай туралы қатемен бірден сәтсіз аяқталады. Опция болмаған кезде демон барлық мекенжайларда тыңдайды, сондықтан интерфейсі әлі көтерілмеген машинада сол профиль жұмыс істейді: ол сіз атаған бір мекенжайдың орнына барлық жерде тыңдайды. Осы айырмашылық — бүкіл сәтсіздік, және ол қайта жүктеуге дейін көрінбейді.
Талап интерфейстің жалпы мағынада көтерілуі емес. Мекенжай байланыстыру сәтінде дұрыс интерфейске тағайындалуы тиіс және ол сол демонның кейін жасайтын туннелі емес, негізгі интерфейс болуы керек. Кіруден кейін бірнеше минуттан соң жасалған тексеру жүктелу реті туралы ештеңені дәлелдемейді.
Мекенжайды күту немесе байланыстыруды қайталау
Күту — бұл мекенжай пайда болғанша сұрайтын ExecStartPre, шектеулі әрекет санымен және уақыт біткенде нөлге тең емес шығыспен. Қайталау — негізгі процестің сәтсіз болуына жол беріп, қызмет менеджерінен оны қайта іске қосуды сұрау, мысалы Restart=on-failure RestartSec=5-пен бірге. Біріншісі жетіспейтін алғышартты сәтсіз бірлік ретінде хабарлайды, ал екіншісі оны ақыры тоқтайтын қайта іске қосулар сериясы ретінде хабарлайды; бұл журналда шулырақ, бірақ сіз болжай алмайтын себептермен кеш келетін мекенжайға төтеп береді.
Мекенжай жобаланған тәуелділік болса, күтуге басымдық беріңіз, ал мекенжай әдетте пайда болатын болса, бірақ уақыты өзгерсе, қайталауға басымдық беріңіз. Оларды біріктіру орынды: шектеулі күту кәдімгі жағдайды, ал қайта іске қосу саясаты ерекшелікті қамтиды. Екеуі де мәңгі жұмыс істемеуі керек, өйткені шексіз қайталайтын бірлік қате конфигурацияны хабарлаудың орнына жасырады.
Неге network-online.target жеткіліксіз
network-online.target белсенді желілік іске асыру online деп түсінетін нәрсені уәде етеді, одан артық емес. systemd-networkd кезінде systemd-networkd-wait-online бұл мақсатқа қашан жететінін шешеді, және оның online туралы әдепкі түсінігі сіздің нақты мекенжайыңыз пайда болмай тұрып қанағаттандырылуы мүмкін. NetworkManager астында wait-online қызметі өз ережелерін қолданады. Мақсаттан кейін реттеу — сау негіз, бірақ бір мекенжай, DNS жауабы немесе қашықтағы серіктес дайын деген кепілдік емес.
Сол пайымдау әдеттегі баламаларды жоққа шығарады. Жұмыс үстелінің автоіске қосу жазбасы серверде ешқашан ашылмауы мүмкін пайдаланушы сессиясын күтеді, ал кешіктірілген cron командасы пайда болуын күткен ресурсты атамай-ақ өткен уақытты қосады. Екеуі де айлар бойы сәтті болып көрініп, содан кейін маңызды болған жалғыз жүктелуде сәтсіз болуы мүмкін.
Суық жүктелуден кейін байланыстыруды тексеріңіз
Қызметті қайта іске қосумен емес, нақты суық жүктелумен тексеріңіз, өйткені қайта іске қосу жүктелу реті жасауға тиіс мекенжайды мұраға алады. Жүктелуден кейін ss -lntp немесе ss -lunp әр тыңдаушының нақты қай жергілікті мекенжайға байланысқанын көрсетеді, ал journalctl -b -u openvpn-server@server бірінші әрекеттің сәтсіз болғанын көрсетеді. Байланысқан мекенжайды профильдегімен салыстырыңыз, содан кейін желі қайта қосылғаннан кейін салыстыруды қайталаңыз.
Егер профильге ешқашан тіркелген мекенжай қажет болмаса, local-ды алып тастау заңды жеңілдету, бірақ оны ақаулықтарды жою әдеті емес, қауіпсіздік шешімі етіп жасаңыз.
Тыңдаушыны кеңейту оған кімнің жете алатынын өзгертеді, сондықтан бұл өзгерісті оны шектеуі тиіс болған firewall саясатымен ұштастырыңыз. Әрбір интерфейсте сенімді түрде іске қосылатын қызмет бастапқы мәселені шешкен жоқ; ол мәселені желі шетіне жылжытты.