Firwat Ären OpenVPN-Client no engem eenzegen Timeout ënnen bleift

Méindeg moies: den Tunnel, dee Freideg eropkomm ass, ass fort, d'Interface steet nach an der Lëscht, an am Journal steet näischt, datt et een gemierkt hätt. Den Host ass online, den Tableau ass gréng, an alles, wat en iwwer d'Woch geschéckt huet, ass duerch d'physikalesch Interface erausgaang. Hei feelen zwou onofhängeg Entscheidungen: eng drop, ob den Clientprozess eng temporär Stéierung iwwerlieft, an eng drop, ob eppes driwwer de Prozess no sengem Austrëtt erëm start. Nëmmen eng vun deenen zwee ze reparéieren léisst déi aner Lück op.

Fänkt domat un, wat d'Eenheet tatsächlech gemaach huet, net domat, wat d'Iwwerwaachung behaapt. systemctl status openvpn-client@office an journalctl -u openvpn-client@office -n 50 weisen de Grond vum Austrëtt an déi lescht Linn, déi de Client virum Goe geschriwwen huet.

De Prozess ass erausgaang, ier et een gemierkt huet

E Client, deen ouni Feeler verschwënnt, ass meeschtens absichtlech erausgaang. D'Profil entscheet iwwer dëst Verhalen, net de Servicemanager: ping-exit beendet de Prozess, soubal de Géigeniwwer ophält ze äntweren, wärend ping-restart de Prozess behält an dobannen erëm verbënnt. Sessiounslimiten an Inaktivitéitstimere ginn vun dobaussen dat selwecht Bild: keen Tunnel a keng Alarm.

Déi zwou ping-Direktive kënnen net zesummen an engem Profil stoen, dofir wielt eng a schreift d'Wiel op. Kuckt och de Server un, well seng eege ping-exit eng Sessioun zoumécht, egal wat de Client gefrot huet, a just de Serverjournal festhält, wien dës Entscheedung geholl huet.

Wiel tëschent ping-exit a ping-restart

Wielt ping-restart fir e Laptop oder eng wäit Plaz, déi sech selwer heele soll, a behält ping-exit fir Fäll, wou en douden Tunnel de Prozess muss stoppen, sou datt eppes anescht drop reagéiere kann. D'Zuelen si manner wichteg wéi d'Relatioun: ping 10 mat ping-restart 60 heescht zéng Sekonne Stëllt virun enger Prüfung a siechzeg virum Neistart, wat aggressiv ass op enger verlusträicher mobiler Verbindung a vernünfteg op enger kabelgebundener. Schreift de Grond nieft d'Linn, well de nächste Lieser soss unhëlt, d'Standardwäerter wieren absichtlech gewiescht.

Bestätegt duerno, datt et wierklech de Prozess war, deen erausgaang ass. Eng Eenheet, déi aktiv mellt, wärend den Tunnel dout ass, ass eng aner Stéierung, déi ënnen traitéiert gëtt.

Iwwerwaachung, déi d'Eenheet wierklech nei start

Op engem systemd-Host ass déi klengst dauerhaft Ännerung eng drop-in-Datei: Restart=on-failure an RestartSec=10 an /etc/systemd/system/[email protected]/restart.conf. Eng drop-in gëtt nëmme gelies, wann systemd seng eege Definitiounen nei lued, dofir fuert duerno systemctl daemon-reload aus. Iwwerpréift mat systemctl show -p Restart -p ExecMainStatus openvpn-client@office, amplaz unzehuelen, de Wäert wier ukomm. D'Instanz am Dateinumm muss de Profil sinn, deen d'Eenheet wierklech lued, also mécht eng Datei, déi fir office geschriwwen ass, näischt fir openvpn-client@home.

on-failure ignoréiert ee Fall: en proppere Austrëtt mat Status null. E puer Ofbauweeër enden esou, dofir liest de festgehalene Status, amplaz dem Wuertlaut vun enger Manpage ze vertrauen. Wann Äre Client mat enger Null opgëtt, braucht Dir Restart=always, an de Präis ass, datt e wierklech futti Profil ëmmer erëm zréckkënnt, bis de Startratenlimit gräift an de Journal sech fëllt.

Restart=always gräift och no engem bewossten Stop. Benotzt systemctl stop fir Maintenance, a maskéiert d'Eenheet, wann se ënnen bleiwe muss, wärend Dir schafft.

Fänkt d'Lach, wärend den Tunnel ënnen ass

Iwwerwaachung bréngt den Tunnel erëm; et verhënnert net, datt Traffic erausgeet, wärend den Tunnel net do ass. persist-tun behält d'Apparat an seng Ruten iwwer Neiverbindungen, wat praktesch ass an eng Fënster opmécht. Den Apparat iwwerlieft, d'Route weisen nach drop, a Pakete lafen ongeschützt an ongemellt eraus. Dat ass eng Politikwiel, keen neutrale Standard.

Wann en Host iwwerhaapt keng ongeschützt Pakete ka schécken, kann dat just d'Firewall garantéieren. Eng Ausgangsregel, déi d'Tunnelinterface an d'Adress vum VPN-Server erlaabt an alles anescht verwerft, hält nach dem Doud vum Client, an näischt an der Konfiguratioun vum Client selwer kann Traffic filteren, deen de Client net dréit.

Testt et, andeems Dir de Client bewosst stoppt. Fuert systemctl stop openvpn-client@office aus, dann curl -m 5 https://example.com, dat iwwer d'physikalesch Verbindung soll feelen, amplaz ze geléngen. En Erfolleg heescht, datt d'Firewallregel feelt oder ze permissionn är ass.

Verbindt Iech erëm, bestätegt, datt den Tunnel erëm Traffic dréit, a füügt dunn d'Prüfung der Iwwerwaachung bäi. ip addr vu cron fir en tun-Apparat ofzefroen ass d'Iwwerwaachung, déi am dackste feelt, well mam persist-tun den Apparat d'Sessioun iwwerlieft an d'Prüfung Gesondheet mellt, wärend näischt gedroe gëtt.