OpenConnect үзүлгөн VPNге канча убакыт кайра туташууга аракет кылышы керек?

--reconnect-timeout бир тар суроого жооп берет: туннель кулагандан кийин бул кардар процесси багынып чыкканга чейин канча убакыт аракет кылат. OpenConnect колдонмо бети бул опцияны жоголгон байланышка же жооп берүүнү токтоткон өнөктөшкө кийинки кайталоолор үчүн документтелген 300 секунддук демейки маани менен жазат, жана бул сан бир иштеп жаткан кардар үчүн мөөнөт, VPN жеткиликтүү бойдон калаарынын далили эмес. Ал ошондой эле процессти тирүү кармоо саясаты эмес, жана түшүнбөстүктүн көбү ушундан башталат.

Үстүнө экинчи механизм отурганда түшүнбөстүк көбөйөт. Кардарды кайра иштетүүчү көзөмөлчү, шлюзга ping жиберүүчү текшерүүчү жана курулган кайталоо терезеси бир эле бузулууга жооп бере алат, ошондон кийин окуя эч ким шайкеш келтире албаган үч убакыт сызыгын берет.

Кайра туташуу терезеси чындыгында эмнени чектейт

Кирүү тармагы бир нече секундга жоголуп кетет деп элестетиңиз. Кардар байланыштын үзүлгөнүн көрөт же өлүк өнөктөштүн жоопторун угууну токтотот жана өзү сактай алган абалды кармап, сессияны кайра орнотууга киришет. Аракеттер шлюз кайра кабыл алганга чейин же терезе бүткөнгө чейин уланат, ал эми бүткөн терезе нөл эмес чыгуу менен аяктайт. Так ошол чыгуу, таймаут мааниси эмес, жашоо циклинин ээлиги процессти көзөмөлдөгөнгө өткөн жер.

Терезе текшерүүчүнүн канчалык тез-тез иштеши жөнүндө эч нерсе айтпайт жана аутентификацияны узарта албайт. Эгер шлюз сессияны жокко чыгарса же эсеп азыр жаңы экинчи факторду талап кылса, узак күтүү эски сессияны кайра жарактуу кылбайт. Кайталоо гана жол кайра келгенде, шлюз сессияны дагы эле тааныганда жана талап кылынган эсептик маалыматтар колдонууга жарактуу бойдон калганда ийгиликтүү болот, ошондуктан бул санды жашоо аралыгы эмес, мөөнөт катары окуңуз.

Терезе ошондой эле ал иштеп жатканда колдонмолор эмне кылаарын жөнгө салбайт. Платформага жана бузулуу канчалык алыска кеткенине жараша кардар маршруттар дагы орнотулган кезде же алар алынып салынгандан кийин кайра туташы мүмкүн. Ошондуктан үзгүлтүктүн ортосунда берилген суроо тез ийгиликсиз болуунун ордуна таймаут бүткөнгө чейин илинип турат.

Көзөмөлчүнүн кайра иштетиши жана кардардын кайталоолору эки катмар

Иштеп жаткан кардар өз терезесин сарптасын, ал эми кызмат менеджери чыгууга жооп берсин. systemd астында кайра иштетүү саясаты бар алдыңкы пландагы кардар так ушундай бөлүштүрүүнү берет: чектелген мезгилге аракеттер, андан кийин бир кайра иштетүү чечими. Натыйжа — кийин да кайра курууга боло турган бир убакыт сызыгы.

Фондук кардар жана интерфейсти көрбөгөндө башка көчүрмөнү иштетүүчү көз карандысыз текшерүүчү — бул туура эмес иштеген үлгү. Анда эки процесс тең бир аппарат түйүнү, маршруттар жана resolver жөндөөлөрү үчүн талашат. Эгер чындап демон кааласаңыз, опцияны кардар иш жүзүндө башталган буйрук сабына коюңуз:

sudo openconnect --background --pid-file=/run/openconnect/vpn.pid \
  --reconnect-timeout=180 \
  --user=<account> https://vpn.example.edu

Бул сапта эки деталдын салмагы бар. --background процессти бөлөт, ошондуктан pid файлы ага ишенимдүү жалгыз тутка болуп калат, ал эми таймаут ошол эле процесс тирүү болгонго чейин гана сарпталат; аны өлтүргөн көзөмөлчү улантууга бюджет калтырбайт.

Атайылап ажыратууларга өз сигналы керек. Пландалган тыныгуу жана чыныгы бузулуу акылсыз байкоочуга бирдей көрүнөт, экөө тең «туташкан эмес» деп окулат. Тыныгууну көзөмөлчүнүн токтотуу операциясы же ороп коюучу түшүнгөн белги аркылуу башкарыңыз, атайылап токтотуу эч ким сурабаган кайра иштетүүнү пайда кылбашы үчүн.

Өткөрүп берүүнүн кайталоо цикли менен жарышып кетишин болтурбоо

Көзөмөлсүз калыбына келтирүү адам жок кезде жаңырган эсептик маалыматтарга көз каранды. Тек интерактивдүү иш столу сессиясынын ичинде ачылган ачкычтар боосу же дайыма терилген кодду талап кылган токен жол кайра келгенде кардарды аутентификация баскычында калтырат. Терезени узартуудан мурун бул иш агымын чечиңиз, анткени узун терезе ошол эле тоскоол суроого ийгиликсиз болууга көбүрөөк убакыт берет.

Сервер текшерүүсүн суроолорду азайтуу үчүн алсыратууга болбойт. Шлюзду текшерүүчү пин же ишеним анкери автоматтык кайра туташууну коопсуз кылат, ал эми сертификат жөнүндөгү суроодон качуу үчүн аны өчүрүү көрүнүүчү үзгүлтүктү көрүнбөгөн үзгүлтүк менен алмаштырат. Текшерилген инсандыкты сактап, анын ордуна суроону оңдоңуз; каалаган шлюзга туташууга даяр кардар токтоп күткөндөн жаман.

Интерфейстин болушу да ден соолук сигналы эмес. Туннель түзмөгү анын артында өлүк сессия менен да болушу мүмкүн, ал эми баштоочу процесс такыр туннелсиз да болушу мүмкүн. Бул байкоолордун эч бири чыныгы суроого туруштук бере албайт. Ден соолук колдонуучуга керектүү нерседен келиши керек, мисалы туннель аркылуу белгилүү ички кызматка барган суроодон.

Үзгүлтүк учурунда жана андан кийин эмнени текшерүү керек

Төрт окуяны өзүнчө сынак катары өткөрүңүз: терезеден кыска үзгүлтүк, андан узун үзгүлтүк, аутентификациянын ийгиликсиздиги жана атайылап токтотуу. Ар бири башка, болжолдонуучу абалда аякташы керек, ал эми алгачкы экөөнүн ортосундагы чек маани тандоонун бүткүл себеби.

Текшерүүлөрдү сыртка карай кармаңыз, анткени процесстер таблицасы өзүнчө эле аз нерсени далилдейт. pid кыска үзгүлтүк учурунда туруктуу бойдон калабы, көзөмөлдөңүз, андан кийин узун үзгүлтүктөн кийин ал кетип, бир жолу алмаштырылганын ырастаңыз:

curl -sS --max-time 5 -o /dev/null -w '%{http_code}\n' https://intranet.example.internal/health
cat /run/openconnect/vpn.pid
ps -o pid,etime,cmd -p "$(cat /run/openconnect/vpn.pid)"

Кыска үзгүлтүк учурунда кардардын чындап кайра аракет кылганын, эрте чыкпаганын жана маршруттар менен resolver жазуулары кайталоосуз кайтканын ырастаңыз. Узун үзгүлтүк үчүн таза чыгууну жана андан кийин так бир кайра иштетүүнү ырастаңыз. Аутентификация ийгиликсиздиги үчүн кардардын аны четке кагуучу шлюзга каршы айланбай турганын ырастаңыз. pid топтолбой бир мааниге кайтарын текшерүүнү кошуңуз.

Атайылап токтотуу үчүн ден соолук URL жеткиликсиз бойдон калышы, ал эми процесс ылдый турушу керек. Андан кийин циклды колдонмо тараптан жабыңыз: ошол эле суроо туннель жок кезде ийгиликсиз болушу жана ал кайра келгенден кийин сиздин саясатыңыз күткөн булак дарегинен ийгиликтүү болушу керек. Жашыл туннель белгиси далил эмес, бирок аткарылган суроо далил.