ಪ್ರತಿ ಗಂಟೆಯ OpenVPN ಕಡಿತ: ಮರುಮಾತುಕತೆ ಅಥವಾ ನಿಜವಾದ ಮರುಸಂಪರ್ಕ?

ಅರವತ್ತು ನಿಮಿಷ, ಅಥವಾ ಮೂವತ್ತು, ಅಥವಾ ನೂರ ಇಪ್ಪತ್ತು: ದುಂಡಾದ ಮಧ್ಯಂತರದಲ್ಲಿ ಬರುವ ಕಡಿತ ಬಹುತೇಕ ಎಂದಿಗೂ ಜಾಲವಲ್ಲ. OpenVPN ಟೈಮರ್ ಪ್ರಕಾರ ಡೇಟಾ ಚಾನಲ್ ಅನ್ನು ರಕ್ಷಿಸುವ ಕೀಲಿ ಸಾಮಗ್ರಿಯನ್ನು ನವೀಕರಿಸುತ್ತದೆ, ಮತ್ತು ನೀವು ಊಹಿಸಿದ್ದಕ್ಕಿಂತ ಚಿಕ್ಕ ಟೈಮರ್ ನಿರಂತರವಾಗಿ ವಿಫಲವಾಗುವ ಕೊಂಡಿಯಂತೆಯೇ ಕಾಣುತ್ತದೆ. ಬಳಕೆದಾರರು ಮುರಿದ ಸಂಪರ್ಕವನ್ನು ವರದಿ ಮಾಡುತ್ತಾರೆ, ಆದರೆ ಲಾಗ್ ಯಶಸ್ವಿ ಕೀಲಿ ವಿನಿಮಯವನ್ನು ವರದಿ ಮಾಡುತ್ತದೆ. ಕೆಳಗಿನ ಮಾರ್ಗದರ್ಶಿ ಆ ನವೀಕರಣವನ್ನು ನಿಜವಾದ ಮರುಪ್ರಾರಂಭದಿಂದ ಬೇರ್ಪಡಿಸುತ್ತದೆ, ವಾಸ್ತವವಾಗಿ ಜಾರಿಯಲ್ಲಿರುವ ಮೌಲ್ಯವನ್ನು ಓದುತ್ತದೆ, ಮತ್ತು ವೆಚ್ಚ ಮೇಜಿನ ಮೇಲೆ ಬಂದ ನಂತರವೇ ಅದನ್ನು ಬದಲಿಸುತ್ತದೆ.

ಹಂತಗಳನ್ನು ಕ್ರಮವಾಗಿ ಮಾಡಿ, ಏಕೆಂದರೆ ಮೊದಲನೆಯದು ಪುಟದ ಉಳಿದ ಭಾಗ ನಿಮಗೆ ಸಂಬಂಧಿಸಿದೆಯೇ ಎಂದು ನಿರ್ಧರಿಸುತ್ತದೆ. ಮುಂದೆ ದಾಟಿದರೆ, ಅದಕ್ಕೆ ಯಾವುದೇ ಸಂಬಂಧವಿಲ್ಲದ ದೋಷಕ್ಕಾಗಿ ಟೈಮರ್ ಟ್ಯೂನ್ ಮಾಡುವುದರಲ್ಲಿ ಒಂದು ಸಂಜೆ ಕಳೆಯುತ್ತೀರಿ.

ಮೃದು ಮರುಹೊಂದಿಕೆಯನ್ನು ಮರುಪ್ರಾರಂಭದಿಂದ ಪ್ರತ್ಯೇಕಿಸಿ

ಲಾಗ್ ಸಾಲೇ ಪೂರ್ಣ ರೋಗನಿರ್ಣಯ. ಮರುಮಾತುಕತೆ ಒಂದು ಮೃದು ಮರುಹೊಂದಿಕೆಯನ್ನು ಬರೆದು ನಂತರ ಅದೇ ಸುರಂಗದೊಳಗೆ ಹೊಸ ಕೀಲಿ ವಿನಿಮಯ ಮಾಡುತ್ತದೆ: ಇಂಟರ್ಫೇಸ್ ತನ್ನ ವಿಳಾಸವನ್ನು ಉಳಿಸಿಕೊಳ್ಳುತ್ತದೆ, ಮಾರ್ಗಗಳು ಮತ್ತೆ ಸೇರಿಸಲ್ಪಡುವುದಿಲ್ಲ, ಮತ್ತು ಸ್ಥಾಪಿತ TCP ಅಧಿವೇಶನಗಳು ಸಾಮಾನ್ಯವಾಗಿ ವಿರಾಮದೊಂದಿಗೆ ಉಳಿಯುತ್ತವೆ. ನಿಜವಾದ ಮರುಪ್ರಾರಂಭ ಅಧಿವೇಶನವನ್ನು ಹರಿದು ಹಾಕುತ್ತದೆ, ಇಂಟರ್ಫೇಸ್ ಅನ್ನು ಮತ್ತೆ ನಿರ್ಮಿಸುತ್ತದೆ, ಬೇರೆ ಕ್ಲೈಂಟ್ ವಿಳಾಸವನ್ನು ನೀಡಬಹುದು, ಮತ್ತು ಪ್ರತಿ ದೀರ್ಘಕಾಲಿಕ ಸಂಪರ್ಕವನ್ನು ಕೊಲ್ಲುತ್ತದೆ. ಎರಡೂ ಘಟನೆಗಳು ಸಾಮಾನ್ಯ; ಅವುಗಳಲ್ಲಿ ಒಂದೇ ಕಡಿತಗೊಂಡ ಕರೆಯನ್ನು ವಿವರಿಸುತ್ತದೆ.

journalctl -u openvpn-client@office -b --no-pager | grep -nE 'soft reset|Connection reset|reneg|TLS Error'
openvpn --version | head -n 1

ಆವೃತ್ತಿ ಸಾಲು ಮುಖ್ಯ ಏಕೆಂದರೆ ಲಾಗ್ ಪದಪ್ರಯೋಗ ಆವೃತ್ತಿಗಳ ನಡುವೆ ಬದಲಾಗುತ್ತದೆ, ಮತ್ತು 2.3 ರಿಂದ ನೆನಪಿರುವ ಸಂದೇಶ 2.6 ರಲ್ಲಿ ಬೇರೆ ರೀತಿಯಲ್ಲಿ ಬರೆಯಲ್ಪಟ್ಟಿರಬಹುದು. ಬೇರೆಯವರ ಫೋರಮ್ ಆಯ್ದ ಭಾಗವಲ್ಲ, ನಿಮ್ಮದೇ ಲಾಗ್ ಓದಿ. ಸಹಾಯ ಕೇಳುವಾಗ ನಿಖರ ಸಾಲನ್ನು ಉಲ್ಲೇಖಿಸಿ, ಏಕೆಂದರೆ ಮರುನಿರೂಪಣೆ ಘಟನೆಯನ್ನು ಗುರುತಿಸುವ ವಿವರವನ್ನು ಕಳೆದುಕೊಳ್ಳುತ್ತದೆ. ಘಟನೆಯ ಉದ್ದಕ್ಕೂ ಇಂಟರ್ಫೇಸ್ ವಿಳಾಸ ಬದಲಾಗದಿದ್ದರೆ ಮತ್ತು ಅಧಿವೇಶನ ಪಟ್ಟಿ ಉಳಿದಿದ್ದರೆ, ನೀವು ನವೀಕರಣವನ್ನು ನೋಡುತ್ತಿದ್ದೀರಿ ಮತ್ತು ಉಳಿದ ವಿಭಾಗಗಳು ಅನ್ವಯಿಸುತ್ತವೆ.

ಜಾರಿಯಲ್ಲಿರುವ ಟೈಮರ್ ಓದಿ, ನಿಮ್ಮ ಫೈಲ್ ಅಲ್ಲ

reneg-sec ಡೇಟಾ ಚಾನಲ್ನ ಮರುಮಾತುಕತೆಗಳ ನಡುವಿನ ಸೆಕೆಂಡುಗಳ ಸಂಖ್ಯೆ ಮತ್ತು ಅದರ ಡಿಫಾಲ್ಟ್ 3600. ಪ್ರತಿ ಪಕ್ಷ ತನ್ನದೇ ಮೌಲ್ಯವನ್ನು ಹೊಂದಿರುತ್ತದೆ, ಮತ್ತು ಎರಡರಲ್ಲಿ ಚಿಕ್ಕದೇ ನವೀಕರಣವನ್ನು ವಾಸ್ತವವಾಗಿ ಪ್ರಚೋದಿಸುತ್ತದೆ. ಆ ಒಂದೇ ನಿಯಮ ಹೆಚ್ಚಿನ ವರದಿಗಳನ್ನು ವಿವರಿಸುತ್ತದೆ: ದೊಡ್ಡ ಸಂಖ್ಯೆ ಹಾಕುವ ಕ್ಲೈಂಟ್ ಪ್ರೊಫೈಲ್ ಸಹ ಸರ್ವರ್ ಡಿಫಾಲ್ಟ್ ಉಳಿಸಿಕೊಂಡರೆ ಪ್ರತಿ ಗಂಟೆಗೂ ಮರುಹೊಂದಿಸಲ್ಪಡುತ್ತದೆ.

grep -Rn --include='*.conf' -E 'reneg-sec|reneg-bytes' /etc/openvpn
# server side, including included files
grep -Rn -E '^reneg-sec' /etc/openvpn/server/

ಕ್ಲೈಂಟ್ ಫೈಲ್ನಿಂದ ತೀರ್ಮಾನಕ್ಕೆ ಬರುವ ಮೊದಲು ಸರ್ವರ್ನ ಜಾರಿಯಲ್ಲಿರುವ ಸಂರಚನೆಯನ್ನೂ, ಅದು ಪುಶ್ ಮಾಡುವ ಎಲ್ಲವನ್ನೂ ಸೇರಿಸಿ ಓದಿ. ನಂತರ ವಿವರ ಮಟ್ಟವನ್ನು ಹೆಚ್ಚಿಸಿ ಒಂದು ಮಧ್ಯಂತರವನ್ನು ಆರಂಭದಿಂದ ಕೊನೆಯವರೆಗೆ ಗಮನಿಸಿ: ಮಟ್ಟ 3 ಈಗಾಗಲೇ ಮರುಮಾತುಕತೆಯ ಸಾಲುಗಳನ್ನು ತೋರಿಸುತ್ತದೆ, ಮತ್ತು ಸಮಯ ಚಿಹ್ನೆಗಳು ಘಟನೆ ಪ್ರತಿ 3600 ಸೆಕೆಂಡಿಗೆ ಪುನರಾವರ್ತಿಸುತ್ತದೆಯೇ ಅಥವಾ ಚಟುವಟಿಕೆಯನ್ನು ಅನುಸರಿಸುತ್ತದೆಯೇ ಎಂದು ಹೇಳುತ್ತವೆ.

ವಾಸ್ತವವಾಗಿ ಪುಶ್ ಆಗುವಲ್ಲಿಯೇ ಅದನ್ನು ಬದಲಿಸಿ

ಸುತ್ತುತ್ತಿರುವ ಪರಿಹಾರ ಕ್ಲೈಂಟ್ ಪ್ರೊಫೈಲ್ನಲ್ಲಿ ಒಂದು ಸಾಲು, ಮತ್ತು ಸುಮಾರು ಅರ್ಧ ಸಮಯ ಅದು ತಪ್ಪು ಸ್ಥಳ. ಪಕ್ಷದ ಕಡಿಮೆ ಮೌಲ್ಯ ಗೆಲ್ಲುವುದರಿಂದ, ಟೈಮರ್ ಅನ್ನು ಶೂನ್ಯಕ್ಕೆ ಹೊಂದಿಸಿದ ಕ್ಲೈಂಟ್ ಸಹ ಬದಲಾಗದ ಸರ್ವರ್ನಿಂದ ಮರುಮಾತುಕತೆಗೆ ಒಳಗಾಗಬಹುದು.

# on both ends, or on the side that owns the pushed configuration
reneg-sec 0

ಪ್ರೊಫೈಲ್ಗಳನ್ನು ಕೇಂದ್ರೀಯವಾಗಿ ರಚಿಸುವಲ್ಲಿ, ನಿಯೋಜಿತ ಪ್ರತಿಯಲ್ಲ, ಟೆಂಪ್ಲೇಟ್ ಸಂಪಾದಿಸಿ, ಇಲ್ಲದಿದ್ದರೆ ಮುಂದಿನ ಒದಗಿಸುವಿಕೆ ಓಟವು ನೀವು ಈಗತಾನೇ ತೆಗೆದ ಮೌಲ್ಯವನ್ನು ಮರುಸ್ಥಾಪಿಸುತ್ತದೆ. ಒಂದಲ್ಲ, ಎರಡು ಮಧ್ಯಂತರಗಳನ್ನು ಗಮನಿಸಿ ಪರಿಶೀಲಿಸಿ: ಒಂದು ಶಾಂತ ಗಂಟೆ 7200 ಗೆ ಹೊಂದಿಸಿದ ಟೈಮರ್ಗೂ ಹೊಂದುತ್ತದೆ.

ಮಿಶ್ರ ನಿಯೋಜನೆಯಲ್ಲಿ ಏನಾಗುತ್ತದೆ ಎಂಬುದನ್ನೂ ನಿರ್ಧರಿಸಿ. ಬದಲಾವಣೆಯನ್ನು ಮೊದಲು ಕ್ಲೈಂಟ್ಗಳಿಗೆ ಹರಡಿದರೆ, ಸರ್ವರ್ ಇನ್ನೂ ನವೀಕರಣವನ್ನು ಪ್ರಚೋದಿಸುವ ಕಿಟಕಿ ಉಳಿಯುತ್ತದೆ; ಅದು ನಿರುಪದ್ರವ ಆದರೆ ದೃಢೀಕರಣಕ್ಕಾಗಿ ಲಾಗ್ಗಳನ್ನು ನೋಡುತ್ತಿದ್ದರೆ ಗೊಂದಲಕರ. ಚಿಕ್ಕ ಮೌಲ್ಯ ಇರುವ ಬದಿಯನ್ನು ಮೊದಲು ಬದಲಿಸಿ ಮತ್ತು ಲಕ್ಷಣ ನೀವು ನಿರೀಕ್ಷಿಸುವ ಹಂತದಲ್ಲೇ ಮಾಯವಾಗುತ್ತದೆ.

ಮರುಮಾತುಕತೆಯನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವುದರಿಂದ ಏನನ್ನು ಬಿಟ್ಟುಕೊಡುತ್ತೀರಿ

ನಿಯಮಿತ ಮರುಮಾತುಕತೆ ಡೇಟಾ ಚಾನಲ್ ಕೀಲಿಗಳ ಒಂದು ಗುಂಪು ಎಷ್ಟು ಕಾಲ ಸಂಚಾರವನ್ನು ರಕ್ಷಿಸುತ್ತದೆ ಎಂಬುದನ್ನು ಮಿತಿಗೊಳಿಸುತ್ತದೆ. ಟೈಮರ್ ಆಫ್ ಮಾಡುವುದು ಸುರಂಗವನ್ನು ಮುರಿಯುವುದಿಲ್ಲ, ಮತ್ತು ಮನೆ ರೌಟರ್ ಅಥವಾ ಸಣ್ಣ ಕಚೇರಿ ಗೇಟ್ವೇಯಲ್ಲಿ ಪ್ರಾಯೋಗಿಕ ಒಡ್ಡುವಿಕೆ ಸಾಧಾರಣ. ಅದು ಹೇಗೂ ಒಂದು ವಿನಿಮಯ, ಮತ್ತು ಅದನ್ನು ಮಾಡುವ ಮೊದಲು ವಿನಿಮಯವನ್ನು ಹೆಸರಿಸುವುದು ಯೋಗ್ಯ. ಬದಲಾಗುವುದು ಒಂದು ಕೀಲಿ ಗುಂಪು ಎಷ್ಟು ಕಾಲ ಅಧಿವೇಶನವನ್ನು ರಕ್ಷಿಸುತ್ತದೆ ಎಂಬುದು, ಸುರಂಗ ಸ್ವಲ್ಪವೂ ಕೆಲಸ ಮಾಡುತ್ತದೆಯೇ ಎಂಬುದಲ್ಲ.

ನಿಷ್ಕ್ರಿಯಗೊಳಿಸಲು ಸೂಕ್ತವಾದ ಸಂದರ್ಭ ಮುಂದುವರಿಸಲಾಗದ್ದನ್ನು ಮುರಿಯುವ ಮರುಹೊಂದಿಕೆ: ಕಡಿತಗೊಳ್ಳುವ ಕರೆ, ಮತ್ತೆ ಸ್ಥಾಪಿಸಬೇಕಾದ ದೂರದ ಡೆಸ್ಕ್ಟಾಪ್ ಅಧಿವೇಶನ, ಮೊದಲಿನಿಂದ ಆರಂಭವಾಗುವ ಬ್ಯಾಕಪ್. ವಿರಾಮ ಬಳಕೆದಾರರಿಗೆ ಅಗೋಚರವಾದರೆ, ಡಿಫಾಲ್ಟ್ ಬಿಡುವುದು ಏನನ್ನೂ ವೆಚ್ಚ ಮಾಡುವುದಿಲ್ಲ ಮತ್ತು ನಿಮಗೆ ನೀಡಿದ ಕೀಲಿ ತಿರುಗುವಿಕೆಯನ್ನು ಉಳಿಸುತ್ತದೆ.

ಮಾದರಿ ಅನುಮತಿಸಿದಾಗ ಕಾರಣವನ್ನು ಸರಿಪಡಿಸುವುದನ್ನು ಆದ್ಯತೆ ಮಾಡಿ. ಮೊದಲ ಕೈಹಿಡಿತ ಯಶಸ್ವಿಯಾದರೂ ಅರ್ಧದಾರಿಯಲ್ಲಿ ವಿಫಲವಾಗುವ ನವೀಕರಣ ಟೈಮರ್ ಅಲ್ಲ, ಮಾರ್ಗವನ್ನು ಸೂಚಿಸುತ್ತದೆ: ದೊಡ್ಡ ನಿಯಂತ್ರಣ ಚಾನಲ್ ವಿನಿಮಯದಲ್ಲಿ ಪ್ಯಾಕೆಟ್ ಗಾತ್ರದ ಸಮಸ್ಯೆ, ಹರಿವನ್ನು ಬೀಳಿಸುವ ಸ್ಥಿತಿಪೂರ್ಣ ಫೈರ್ವಾಲ್, ಅಥವಾ ಮೊದಲ ಪ್ರಯತ್ನದಲ್ಲಿ ಮಾತ್ರ ಯಶಸ್ವಿಯಾಗುವ ಪ್ರಸ್ತಾಪವನ್ನು ಹುಡುಕಿ. ಅವುಗಳಲ್ಲಿ ಪ್ರತಿಯೊಂದೂ ನೀವು ಈಗತಾನೇ ಓದಿದ ಅದೇ ಲಾಗ್ನಲ್ಲಿ ಕುರುಹು ಬಿಡುತ್ತದೆ. ಟೈಮರ್ ಆಫ್ ಮಾಡುವುದು ಆ ಸಾಕ್ಷ್ಯವನ್ನು ಮರೆಮಾಡುತ್ತದೆ.

ಮಧ್ಯಂತರ ಬೇರೆಡೆ ತೋರಿಸಿದಾಗ

ಸಂರಚನೆಯಲ್ಲಿ ಇಬ್ಬರು ನೆರೆಹೊರೆಯವರು ಒಂದೇ ರೀತಿಯ ಲಕ್ಷಣಗಳನ್ನು ಮತ್ತು ಬೇರೆ ಬೇರೆ ಪರಿಹಾರಗಳನ್ನು ಉಂಟುಮಾಡುತ್ತಾರೆ. ನಿಗದಿತ ಅವಧಿಯಲ್ಲಿ ಏನೂ ಬಾರದಿದ್ದಾಗ ping-restart ಸುರಂಗವನ್ನು ಮರುಪ್ರಾರಂಭಿಸುತ್ತದೆ, ಆದರೆ ping-exit ಕ್ಲೈಂಟ್ ಅನ್ನು ಸಂಪೂರ್ಣವಾಗಿ ಇಳಿಸುತ್ತದೆ. ಲಾಗ್ನಲ್ಲಿ ಎಲ್ಲೂ ಮರುಮಾತುಕತೆ ಇಲ್ಲದ ನಿಷ್ಕ್ರಿಯ ಕಡಿತ ಇವುಗಳಿಗೆ, ಅಥವಾ UDP ನಕ್ಷೆಯನ್ನು ತನ್ನದೇ ವೇಳಾಪಟ್ಟಿಯಲ್ಲಿ ಅವಧಿ ಮುಗಿಸಿದ NAT ಸಾಧನಕ್ಕೆ ಸೇರಿದೆ.

ಗ್ರಾಹಕ ರೌಟರ್ಗಳು, ಮೊಬೈಲ್ ಹಾಟ್ಸ್ಪಾಟ್ಗಳು ಮತ್ತು ವಾಹಕ ಮಟ್ಟದ NAT ಎಲ್ಲವೂ ನಿಷ್ಕ್ರಿಯ UDP ಅಧಿವೇಶನಗಳನ್ನು ಯಾರಿಗೂ ಹೇಳದೆ ಅವಧಿ ಮುಗಿಸುತ್ತವೆ. ಆ ವೈಫಲ್ಯ ಗಡಿಯಾರವನ್ನಲ್ಲ, ನಿಷ್ಕ್ರಿಯತೆಯನ್ನು ಅನುಸರಿಸುತ್ತದೆ, ಮತ್ತು ಅದೇ ಸೂಚನೆ: ಹತ್ತು ಶಾಂತ ನಿಮಿಷಗಳ ನಂತರ ಬೀಳುವ ಮತ್ತು ಒಂದು ಗಂಟೆ ಸ್ಥಿರ ಸಂಚಾರವನ್ನು ತಾಳುವ ಅಧಿವೇಶನ ಮರುಮಾತುಕತೆ ಮಾಡುತ್ತಿಲ್ಲ.

ನಾಲ್ಕನೆಯದನ್ನು ಬದಲಿಸುವ ಮೊದಲು ಮೂರು ವಿಷಯಗಳನ್ನು ಬರೆಯಿರಿ: ನೀವು ಅಳೆದ ಮಧ್ಯಂತರ, ನೀವು ಕಂಡುಕೊಂಡ ಜಾರಿಯಲ್ಲಿರುವ ಮೌಲ್ಯ, ಮತ್ತು ಅದನ್ನು ತೋರಿಸಿದ ಆಜ್ಞೆ. ಟೈಮರ್ ಚಲಿಸಿದಾಗ ಮಧ್ಯಂತರವೂ ಚಲಿಸಿದರೆ, ಕಾರ್ಯವಿಧಾನ ಗುರುತಿಸಲ್ಪಟ್ಟಿದೆ ಮತ್ತು ಪರಿಹಾರ ಮೇಲಿನ ವಿನಿಮಯದ ಬಗ್ಗೆ ನಿರ್ಧಾರ. ಅದು ಚಲಿಸದಿದ್ದರೆ, ಸೆಟ್ಟಿಂಗ್ ಹಿಂದೆ ಹಾಕಿ ಮತ್ತು keepalive, NAT ಸ್ಥಿತಿ ಹಾಗೂ ಪ್ಯಾಕೆಟ್ ನಷ್ಟವನ್ನು ನೋಡುತ್ತಿರಿ.