Stonn OpenVPN-Ofbroch: Neiverhandlung oder eng richteg Neiverbindung?

Sechzeg Minutten, oder drësseg, oder honnert an zwanzeg: en Ofbroch, deen op enger ronner Zäitspan fält, ass bal ni d'Netzwierk. OpenVPN erneiert no engem Timer de Schlësselmaterial, deen den Datekanal schützt, an en Timer, dee méi kuerz ass wéi deen, deen Dir ugeholl hutt, gesäit genee aus wéi eng Verbindung, déi ëmmer erëm feelt. Benotzer mellen eng gebrachen Verbindung, während d'Log eng erfollegräich Schlësselauswiesselung mellt. D'Uleedung hei drënner trennt déi Erneierung vun engem richtegen Neistart, liest de Wäert, deen tatsächlech a Kraaft ass, an ännert en eréischt, nodeems d'Käschte um Dësch leien.

Maacht d'Schrëtt an der Rei, well deen éischten entscheet, ob de Rescht vun der Säit iwwerhaapt op Iech zoutrëfft. Wann Dir virspréngt, verbréngt Dir en Owend domat, en Timer fir e Feeler ze justéieren, deen näischt domat ze dinn huet.

Ënnerscheet ene mëllen Reset vun engem Neistart

D'Logzeil ass déi ganz Diagnos. Eng Neiverhandlung schreift ene mëllen Reset an duerno eng frësch Schlësselauswiesselung am selwechten Tunnel: d'Interface behält seng Adress, d'Routen ginn net erëm bäigefüügt, an déi etabléiert TCP-Sessiounen iwwerliewen normalerweis mat enger Paus. En echte Neistart räisst d'Sessioun of, baut d'Interface nei op, gëtt vläicht eng aner Clientadress aus, an ëmbréngt all laangfristeg Verbindung. Béid Evenementer si gewéinlech; nëmmen ee vun hinnen erkläert en ofgebrache Call.

journalctl -u openvpn-client@office -b --no-pager | grep -nE 'soft reset|Connection reset|reneg|TLS Error'
openvpn --version | head -n 1

D'Versiounszeil ass wichteg, well d'Formuléierung vum Log tëschent Releasen ännert, an eng Noriicht, un déi Dir Iech vun 2.3 erënnert, kann an 2.6 anescht formuléiert sinn. Liest Ären eegene Log an net en Auszuch aus engem Forum vun engem aneren. Zitéiert déi genee Zeil, wann Dir Hëllef frott, well eng Paraphrase de Detail verléiert, deen d'Evenement identifizéiert. Wann d'Interfaceadress iwwer d'Evenement onverännert ass an d'Sessiounslëscht iwwerliewt, gesitt Dir eng Erneierung an déi aner Sektiounen gëllen.

Liest den effektiven Timer, net Äre Fichier

reneg-sec ass d'Zuel vun de Sekonnen tëschent den Neiverhandlunge vum Datekanal an hire Standardwäert ass 3600. All Säit dréit hire eigenen Wäert, an dee klengere vun deenen zwee ass deen, deen d'Erneierung tatsächlech ausléist. Déi eenzeg Regel erkläert déi meescht Meldungen: e Clientprofil, deen eng grouss Zuel setzt, gëtt trotzdem all Stonn zréckgesat, während de Server den Standard behält.

grep -Rn --include='*.conf' -E 'reneg-sec|reneg-bytes' /etc/openvpn
# server side, including included files
grep -Rn -E '^reneg-sec' /etc/openvpn/server/

Liest och déi effektiv Konfiguratioun vum Server, inklusiv alles, wat en dréckt, ier Dir aus dem Clientfichier eng Conclusioun zitt. Dann erhéicht d'Detailgenauegkeet a beobachtet en Intervall vu Ufank bis Enn: Niveau 3 weist schonn d'Neiverhandlungszeilen, an d'Zäitstempel soen Iech, ob d'Evenement all 3600 Sekonnen erëmkommt oder der Aktivitéit follegt.

Ännert en do, wou en tatsächlech gedréckt gëtt

D'Heelmiddel, dat zirkuléiert, ass eng eenzeg Zeil am Clientprofil, an et ass ongeféier d'Halschent vun der Zäit déi falsch Plaz. Well de méi nidderegen Wäert vun der Säit gewënnt, kann e Client, deen den Timer op null setzt, nach ëmmer vun engem Server nei verhandelt ginn, deen sech net geännert huet.

# on both ends, or on the side that owns the pushed configuration
reneg-sec 0

Wou Profiler zentral generéiert ginn, ännert d'Schabloun an net déi ausgerullt Kopie, soss stellt den nächsten Provisionéierungslaf de Wäert erëm hier, deen Dir just ewechgeholl hutt. Iwwerpréift andeems Dir zwee Intervalle kuckt, net een: eng eenzeg roueg Stonn ass och mat engem Timer vereinbar, deen op 7200 gesat gouf.

Entscheet och, wat bei enger gemëschter Ausrollung geschitt. Wann Dir d'Ännerung fir d'éischt op d'Cliente rullt, bleift eng Fënster, an där de Server d'Erneierung nach ausléist; dat ass harmlos, awer verwirrend, wann Dir d'Loge fir Engagement kuckt. Ännert fir d'éischt déi Säit mat dem klengere Wäert an d'Symptom verschwënnt op deem Punkt, deen Dir erwaart.

Wat Dir opgitt, wann Dir d'Neiverhandlung desaktivéiert

Regelméisseg Neiverhandlung begrenzt, wéi laang ee Set vun Datekanalschlëssel den Trafik schützt. Den Timer auszeschalten brécht den Tunnel net, an op engem Heemrouter oder engem klengen Büros-Gateway ass d'praktesch Expositioun bescheeden. Et ass awer en Tausch, an den Tausch ass et wäert ze nennen, ier Dir en maacht. Wat sech ännert, ass wéi laang ee Schlësselset eng Sessioun schützt, net ob den Tunnel iwwerhaapt funktionnéiert.

De vernünftege Fall fir d'Desaktivéierung ass en Reset, deen eppes brécht, wat net ka virugoen: en Call, deen ofbrécht, eng Remote-Desktop-Sessioun, déi missen nei opgebaut ginn, eng Sécherung, déi vun Ufank ufänkt. Wann d'Paus fir d'Benotzer onsichtbar ass, kascht de Standard näischt a behält Iech d'Schlësselrotatioun.

Bevirzugt d'Ursaach ze fixéieren, wann d'Muster et erlaabt. Eng Erneierung, déi hallef ausenee fält, während den éischten Handshake geglückt ass, weist op de Wee an net op den Timer: sicht no engem Problem mat der Paketgréisst am gréissere Kontrollkanal-Austausch, enger stateful Firewall, déi de Floss verléiert, oder engem Virschlag, deen nëmmen um éischten Versuch geléngt. Jiddereen dovun hannerléisst eng Spuer am selwechten Log, deen Dir just gelies hutt. Den Timer auszeschalten verstoppt dee Beweis.

Wann den Intervall soss anescht weist

Zwee Noperen an der Konfiguratioun produzéieren ähnlech Symptomer an ënnerschiddlech Fixe. ping-restart startet den Tunnel nei, wann fir eng konfiguréiert Zäit näischt ukënnt, während ping-exit de Client komplett erofhëlt. En Ofbroch am Idle ouni all Neiverhandlung am Log gehéiert zu dësen, oder zu engem NAT-Apparat, deen d'UDP-Mapping no sengem eigenen Zäitplang oflafe gelooss huet.

Verbraucherrouter, mobil Hotspots an Carrier-Grade-NAT loossen all idle UDP-Sessiounen oflafen, ouni et engem ze soen. Dee Feeler follegt dem Idle an net der Auer, an dat ass den Hiwäis: eng Sessioun, déi no zéng rouege Minutten ofbrécht an eng Stonn gläichen Traffik iwwerliewt, verhandelt net nei.

Schreift dräi Saachen op, ier Dir eng véiert ännert: den Intervall, deen Dir gemooss hutt, den effektive Wäert, deen Dir fonnt hutt, an de Kommando, deen en gewisen huet. Wann den Intervall sech beweegt, wann den Timer sech beweegt, ass de Mechanismus identifizéiert an de Fix ass eng Entscheedung iwwer den Tausch uewen. Wann en sech net beweegt, setzt d'Astellung zréck a kuckt weider op keepalives, NAT-Zoustand a Paketverloscht.