OpenVPN: жүктөөдө жергиликтүү байлоо ишке ашпайт — күтүү же кайталоо
Жергиликтүү дарек көтөрүлө электе OpenVPN байлана албайт. Чектелген күтүүнү кайра баштоо саясаты менен салыштырып, network-online.target эмне үчүн кепилдик эмес экенин көрүңүз.
Жүктөөдө башталбаган OpenVPN сервери үчүн эки чечим сунушталат: даректи күтүү же байлоо ийгиликтүү болгонго чейин кызматтын кайра аракеттенүүсүнө жол берүү. Экөө тең бир эле белгини ар башка ийгиликсиздик жүрүм-туруму менен чечет. Күтүү белгилүү бир шартты коддойт жана ал жок болгондо катуу ийгиликсиз болот; кайталоо шартты жашырып, аракеттенүүнү улантат. Кайсынысы сиздин бирдигиңизге таандык экени ошол дарек долбоорлонгон көз карандылыкпы же убакыттын кокустугубу экенине байланыштуу.
Экөө тең туруктуу уйкудан жакшы, ал эч нерсени күтпөйт жана эмнени күткөнүн да билдирбейт.
local параметри чындыгында эмнени талап кылат
local демон өз socket-ин байлай турган даректи атайт, ал эми али жок дарекке байлоо суралган дарек тууралуу ката менен дароо ийгиликсиз болот. Параметр жок болгондо демон бардык даректерде угат, ошондуктан интерфейси көтөрүлө элек машинада ошол эле профиль иштейт: ал сиз атаган бир даректин ордуна бардык жерде угат. Ушул айырма — бүткүл ийгиликсиздик, жана ал кайра жүктөөгө чейин көрүнбөйт.
Талап интерфейстин жалпы мааниде көтөрүлүшү эмес. Дарек байлоо учурунда туура интерфейске ыйгарылышы керек, жана ал ошол эле демон кийин түзө турган туннель эмес, негизги интерфейс болушу керек. Кирүүдөн бир нече мүнөт өткөндөн кийин жасалган текшерүү жүктөө тартиби жөнүндө эч нерсени далилдебейт.
Даректи күтүү же байлоону кайталоо
Күтүү — дарек пайда болгонго чейин сураган ExecStartPre, чектелген аракет саны жана убакыт бүткөндө нөлгө барабар эмес чыгуу менен. Кайталоо — негизги процесстин ийгиликсиз болушуна жол берип, кызмат менеджеринен аны кайра баштоону суроо, мисалы Restart=on-failure RestartSec=5 менен. Биринчиси жетишпеген шартты ийгиликсиз бирдик катары билдирсе, экинчиси аны акыры токтогон кайра баштоолордун сериясы катары билдирет; бул журналда ызы-чуулуураак, бирок сиз болжолдой албаган себептер менен кеч келген дарекке туруштук берет.
Дарек долбоорлонгон көз карандылык болсо күтүүгө артыкчылык бериңиз, ал эми дарек адатта пайда болуп, бирок убактысы өзгөрсө кайталоого артыкчылык бериңиз. Аларды айкалыштыруу орундуу: чектелген күтүү кадимки учурду, кайра баштоо саясаты өзгөчө учурду камтыйт. Экөө тең түбөлүк иштебеши керек, анткени чексиз кайталаган бирдик туура эмес конфигурацияны билдирүүнүн ордуна жашырат.
Эмне үчүн network-online.target жетишсиз
network-online.target активдүү тармактык ишке ашыруу online деп түшүнгөн нерсени убада кылат, андан ашык эмес. systemd-networkd учурунда systemd-networkd-wait-online бул максатка качан жетерин чечет, жана анын online жөнүндөгү демейки түшүнүгү сиздин конкреттүү дарегиңиз пайда боло электе эле канааттандырылышы мүмкүн. NetworkManager астында wait-online кызматы өз эрежелерин колдонот. Максаттан кийин реттөө — бекем негиз, бирок бир дарек, DNS жообу же алыскы өнөктөш даяр деген кепилдик эмес.
Ошол эле ой жүгүртүү адаттагы альтернативаларды жокко чыгарат. Иш тактасынын авто баштоо жазуусу серверде эч качан ачылбашы мүмкүн болгон колдонуучу сессиясын күтөт, ал эми кечиктирилген cron буйругу пайда болушун күткөн ресурсту атабастан өткөн убакытты кошот. Экөө тең айлап ийгиликтүү көрүнүп, анан маанилүү болгон бир гана жүктөөдө ийгиликсиз болушу мүмкүн.
Муздак жүктөөдөн кийин байлоону текшериңиз
Кызматты кайра баштоо менен эмес, чыныгы муздак жүктөө менен текшериңиз, анткени кайра баштоо жүктөө тартиби түзүшү керек болгон даректи мураска алат. Жүктөөдөн кийин ss -lntp же ss -lunp ар бир угуучунун иш жүзүндө кайсы жергиликтүү дарекке байланганын көрсөтөт, ал эми journalctl -b -u openvpn-server@server биринчи аракет ийгиликсиз болгонун көрсөтөт. Байланган даректи профилдеги менен салыштырыңыз, анан тармак кайра туташкандан кийин салыштырууну кайталаңыз.
Эгер профилге эч качан туруктуу дарек керек болбосо, local алып салуу мыйзамдуу жөнөкөйлөтүү, бирок аны мүчүлүштүктү оңдоо адаттын ордуна коопсуздук чечими кыл.
Угуучуну кеңейтүү ага ким жете аларын өзгөртөт, ошондуктан бул өзгөртүүнү аны чектеши керек болгон firewall саясаты менен байланыштырыңыз. Ар бир интерфейсте ишенимдүү башталган кызмат баштапкы маселени чечкен жок; ал маселени тармактын четине жылдырды.