OpenVPN кайталоосунун артка чегинүүсү журналда: сап эмнени далилдебейт

Сапта PID_ERR replay-window backtrack occurred деп жазылган, ал эми издөө жыйынтыктарынын баары муну түшүп калган пакеттер жана бузулган туннель деп түшүндүрөт. Community OpenVPN 2.6 UDP жолунда бул билдирүү кабыл алуу функциясы пакетти эмне кылууну чече электе жазылат. Ал артка чегинүүнүн жаңы максимумын жазат, анан ошол эле функция кабыл алуу же четке кагуу алдында аралыкты терезе жана жазылган абал менен салыштырат. Журнал белгисин өкүм катары окуу — бул текшерүү тизмеси болтурбоого тийиш болгон ката.

Биринчи токтолуу: сап эмне экенин аныктаңыз

Бул ырааттуулук аралыгы тууралуу диагностика, байланыш тууралуу чечим эмес. Ал пакет-ID ишке ашырылышында жаңы байкалган артка чегинүү максимуму белгиленген жерде пайда болот. Бул чекит кабыл алуу же четке кагуу бутагынан мурун турат, ошондуктан аны козгогон пакет дагы эле жеткирилиши мүмкүн.

Аны кайсы хост жазганын жана кандай деталдуулукта жазганын ырастаңыз. Сервер менен клиент экөө тең пакет-ID билдирүүлөрүн чыгара алат, ал эми бир тараптын билдирүүсү экинчи тараптын кабыл алуу абалы тууралуу эч нерсе айтпайды.

Экинчи токтолуу: ошол пакеттин жыйынтыгын табыңыз

Диагностиканын өзүн гана эмес, андан кийинки саптарды окуңуз. Ошол эле функция терезе жана кайталануу текшерүүлөрүнө уланат, ошондуктан ошол так пакеттин жыйынтыгы бир нече буйруктан кийин чечилет жана кабыл алуу болушу толук мүмкүн. Коркунучтуу сапта бүткөн журнал үзүндүсү жыйынтык тууралуу эч нерсе айтпайды. Анын айланасынан терезе издеңиз, саптын өзүн эмес:

journalctl -u openvpn-server@server --since "-10 min" | grep -n -A3 -B3 "backtrack occurred"

Эгер журнал ошол убакта ошол шериги үчүн эч кандай четке кагууну көрсөтпөсө, бул сапты үзүлүштүн себеби деп эсептөөнү токтотуңуз. Колдонмонун жолуна өтүңүз, анткени туташкан, бирок трафик жок деген баяндамалардын көбү чындыгында ошол жерде бүтөт.

Үчүнчү токтолуу: кайра иреттөө чыныгыбы же жокпу чечиңиз

Кайра иреттөө — жолдун касиети, ал эми бир диагностика анын бир гана үлгүсү. Кыска терезеде ошол шерик үчүн кайталанган билдирүүлөрдү издеңиз жана тармак катуу кайра иреттейт деп жыйынтык чыгарганга чейин эки учтагы жазуу менен салыштырыңыз.

Кайра туташуу учурунда бир нече билдирүү таң калыштуу эмес. Чыныгы колдонмо тайм-ауттары менен катар үзгүлтүксүз агым изилдөөгө татыктуу, жана бул айкалыш белги эмес, далил.

Төртүнчү токтолуу: терезе параметрлери жана алар эмне эмес

replay-window ырааттуулук өлчөмүн жана милдеттүү эмес убакыт маанисин алат, ошондуктан аны кеңейтүү бир эле учурда эки башка чыдамдуулукту өзгөртөт. Санды көбөйтүү тартиптен алысыраак пакеттерди уруксат кылат; убакыт мааниси пакетти дагы канча убакыт эске алууга болорун чектейт. Кеңейтүү коопсуздук наркы бар саясат өзгөрүүсү, жана ал шифрди бекемдебейт жана кайталанууну аныктоону өчүрбөйт. Эки чыдамдуулук бирге кыймылдайт, каалаганыңызга карабастан.

Эски аутентификацияланган пакет дагы эле каалабаган кайталануу болушу мүмкүн, ошондуктан кабыл алуучу бул текшерүүлөрдү кармайт. Көбүрөөк кайра иреттөөнү кабыл алуу ошол тобокелдиктин көбүрөөк бөлүгүн кабыл алуу дегенди билдирет.

mute аркылуу эскертүүнү өчүрүү эмнени көргөнүңүздү өзгөртөт, демондун эмне кылганын эмес. Эгер максат белгилүү окуя учурунда тынч журнал болсо, бул мыйзамдуу операциялык тандоо; эгер максат туннелди оңдоо болсо, өчүрүү далилди жашырат.

mute 20
replay-window 64 15

Сырткы ташууну TCPге которуу жеткирүү жана калыбына келтирүү жүрүм-турумун өзгөртөт жана кезек башынын бөгөлүү чыгымын кошот. Бул дизайн чечими, бир журнал белгисине берилген алгачкы жооп эмес. Серверди кайра орнотуу андан жаман, анткени ал статистика менен чындап иштен чыккан чек аранын ортосундагы айырманы жок кылат.

Бешинчи токтолуу: колдонуучу үчүн маанилүү жолду текшериңиз

Туннель туташканда колдонмонун өз тестин иштетиңиз жана анын тандалган багытын, өткөрүп берүү абалын жана кайтуу жолун окуңуз. Пакеттерди бир гана багытта ташуучу туннель такыр артка чегинүү билдирүүлөрүн жаратпайт, жана бул оор кайра иреттөөдөн алда канча кеңири таралган.

Ар бир токтолууда эмнени өлчөгөнүңүздү жазыңыз. Так ошол жазуу кийинки баяндаманын кайрадан коркунучтуу саптан башталып, андан сырткары иштөөсүнө жол бербейт.

Пакет-ID ишке ашырылышы статистика менен чечимдин иретин көрсөтөт, ал эми колдонмо терезенин ырааттуулук жана убакыт аймагын сүрөттөйт. Ошол экөөнү чогуу окуу коркунучтуу журнал сабын белгилүү чоңдукка айландырат. Экөө тең сиздин конкреттүү жолуңуз тууралуу эч нерсе айтпайт, ошондуктан жогорудагы өлчөөлөр дагы эле маанилүү.