OpenVPN кысуу: баш тартуу, гана кабыл алуу же толук LZO?
comp-lzo no катуу баш тартуу эмес. Кысуудан баш тартууну, миграция учурундагы бир тараптуу кабыл алууну жана аны сактоону салыштырып, анан offload эмне кылаарын текшериңиз.
Профилдеги үч сап кысуунун баарын өчүрүп жаткандай көрүнөт, бирок алардын бири гана чындыгында ошондой кылат. Айырма маанилүү, анткени сиз үнсүз кылгыңыз келген эскертүү — симптом, ал эми саясат каршы тараптын дагы кыса аларын чечет. Параметрлерди бир окто, башкача айтканда өзгөрүүдөн кийин ар бири эмнени уруксат кылаары менен салыштыруу белгисиздиктин көбүн жок кылат. Кайсынысын кааларыңыз миграцияда же отурукташууда экениңизге байланыштуу.
Конфигурация файлында окшош көрүнгөн үч саясат
Ар бир параметр башка суроого жооп берет. allow-compression no кысылган жүктөрдү түздөн-түз четке кагат, allow-compression asym келгенин ачат жана кеткенин эч качан кыспайт, ал эми эски comp-lzo no каршы тараптын push аркылуу кысууну күйгүзүүсүнө орун калтырат. Сервер жокко чыгара албаган саясат биринчиси гана.
Тандоодон мурун үчөөнү таблицага жазыңыз, анткени аттар текшерүүчүнү адаштырарлык жакын. Алардын экөө дагы эле кабыл алынган пакеттерде ачуу кодун иштетет жана коопсуздук талашы так ушул жөнүндө. Үчүнчүсү багытты чектөөнүн ордуна мүмкүнчүлүктү алып салат. Эгер өзгөрүү жазуусунда кысуу өчүрүлгөн деп жазылса, бул сүйлөмдү так бир сап канааттандырат.
Текшерүүнү баштаган эскертүү максат эмес. Аны үнсүз кылып, уруксат берүүчү саясатты калтыруу таза журнал жана өзгөрбөгөн таасир берет.
| Setting | What it permits | When it is the right answer |
|---|---|---|
allow-compression no | No compressed payloads, and no compression framing under offload | Both ends can be changed now |
allow-compression asym | Decompress inbound only | A dated migration while peers catch up |
comp-lzo no | Off locally, still pushable by a peer | Legacy compatibility you can still justify |
Эски LZO параметринде no эмнени билдирет
Эскирген LZO параметринде no жергиликтүү тарап үчүн кысууну өчүрөт, бирок саясат уруксат берген жерде каршы тарапка аны күйгүзүүгө тыюу салбайт. Ушул асимметриядан улам профилди катуу баш тартууга которуу жүрүм-турумду бир серверлик лабораториялык сыноо эч качан ачпай турган жолдор менен өзгөртөт.
Коопсуздук тынчы шарттуу, абсолюттук эмес. Чабуулчу тандалган ачык текстти сырдын жанына коюп, кысуунун шифрленген трафиктин өлчөмүн кантип өзгөртүшүн байкай алса, маалыматтык канал бар. LZO-дон LZ4-кө өтүү алгоритм менен каңканы өзгөртөт, ошол механизмди эмес.
Ошондуктан ак ниеттүү алкак азыр кайсы алгоритм сунушталып жатканын эмес, эмнени уруксат кылууга даяр экениңизди камтыйт. Катуу баш тартуу каршы тараптын кызматташуусуна көз каранды эмес жалгыз вариант.
Гана кабыл алуу — миграция абалы, барар жер эмес
Асимметриялык кабыл алуу бир тарап кысууну токтотуп, экинчиси аны дагы күтүп турган учур үчүн бар. Бул көпүрө, ал эми көпүрөгө бүтүү датасы жана ээси керек. Кайсы шериктер дагы кысылган трафик жөнөтүп жатканын жазыңыз, анткени саясат так ошол трафикке уруксат берет. Бул тизме жок болсо, миграция абалы инерция менен туруктуу конфигурацияга айланат.
Кардар өз файлын түзөтүү менен шайкеш келбеген серверди эски каңкадан баш тартууга мажбурлай албайт. Push багыты серверде чечилет, ошондуктан миграция чындыгында сервердин конфигурациясында жана анын ар бир кардар үчүн файлдарында бүтөт.
Stub режимдери каңканы сактайт, бирок кысуу ишин өзүн өткөрүп жиберет жана алар эски параметрдин түздөн-түз баламасы эмес. Бирөөнү тандаардан мурун аларды дагы колдошуңуз керек болгон эң эски шерикте сынап көрүңүз.
Дайындар каналынын offload'у жоопту кайсы жерде өзгөртөт
Дайындар каналынын offload'у пакеттерди иштетүүнү ядрого жылдырат, ал эми дагы эле кысуу каңкасына көз каранды профиль бул жолго батпашы мүмкүн. Ийгиликсиздик ар дайым катуу угулбайт: кардар туташып, анан сиз сынаган туннелден башкача аракет кылат.
Өзгөрүүгө чейин жана кийин кайсы ишке ашыруу активдүү экенин текшериңиз, туташуу ийгиликтүү болгонун гана эмес. Offload жолу кысуу каңкасынан баш тартканда, катуу баш тартуу саясаты менен offload жайгаштыруу шайкеш келет, ал эми уруксат берүүчү саясат менен offload жайгаштыруу шайкеш келбейт.
Бул айкалыш өзүнчө сыноого татыктуу, анткени туура көрүнгөн файл дал ошол жерде үнсүз колдонуудагы файл болбой калат. Келишилген абалды профилде жазылган ниет менен салыштырыңыз, анткени алардын бири гана журналда көрүнөт.
Саясат тандаңыз, анан келишилген натыйжаны текшериңиз
Эки тарапты тең өзгөртө алсаңыз катуу баш тартууну, али албасаңыз асимметриялык кабыл алууну, ал эми толук кысууну таасир эмне үчүн кабыл алынарлыгын түшүндүрө алганда гана тандаңыз. Анан файл эмне дегенин эмес, эмне келишилгенин текшериңиз. Тымызыраак журнал гана жайгаштырууну көздөгөн саясатка дал келгенде далил болот.
Чечимди ал тиешелүү профилдин жанында, датасы жана дагы бошотулган шериктери менен бирге кармаңыз. Жарым жылдан кийин бул жазуу атайын жасалган өзгөчөлүк менен эч ким датасын айта албаган окуянын ортосундагы айырма. Аны профил менен бир репозиторийде жазыңыз, ошондо кийинки редактор себебин нускамадан мурун көрөт.