OpenVPN-Zerécklaf am Log: wat d'Linn net beweist

D'Linn seet PID_ERR replay-window backtrack occurred, an all Sichresultater erklären et als verworfene Paketen an enger gebrochener Tunnell. Am UDP-Wee vum Community OpenVPN 2.6 gëtt dës Meldung geschriwwen, während d'Empfangsfunktioun nach entscheet, wat se mam Paket maache soll. Si registréiert en neien Héichstwert vum Zerécklaf, duerno vergläicht déiselwecht Funktioun d'Distanz mam Fënster an dem opgehollenen Zoustand, ier se unhëlt oder ofleet. De Log-Etikett als Uerteel liesen ass de Feeler, deen dës Checkliste verhënnere soll.

Statioun een: identifizéiert, wat d'Linn ass

Et ass eng Diagnos iwwer d'Sequenzdistanz, net eng Entscheedung iwwer eng Verbindung. Si erschéngt an der Paket-ID-Implementéierung op där Plaz, wou en nei observéierten Héichstwert vum Zerécklaf notéiert gëtt. Déi Plaz läit virum Zweig fir unhuelen oder ofleenen, dofir kann e Paket, deen se ausléist, nach ëmmer geliwwert ginn.

Bestätegt, wéi en Host se geschriwwen huet a mat wéi engem Detailniveau. E Server an e Client kënnen allebéid Paket-ID-Meldungen ausginn, an eng Meldung vun enger Säit seet näischt iwwer den Empfangszoustand vun der anerer.

Statioun zwee: fannt d'Resultat fir dee Paket

Liest d'Linnen no der Diagnos amplaz just d'Diagnos. Déiselwecht Funktioun geet weider an hir Fënster- an Duplikatkontrollen, also gëtt d'Resultat fir dee spezifesche Paket e puer Instruktioune méi spéit entscheet a kann duerchaus Akzeptanz sinn. En Logauszuch, deen op der schrecklecher Linn ophält, seet Iech näischt iwwer d'Resultat. Sicht eng Fënster ronderëm, net d'Linn selwer:

journalctl -u openvpn-server@server --since "-10 min" | grep -n -A3 -B3 "backtrack occurred"

Wann de Log zu där Zäit keng Ofleenung fir dee Peer weist, hält op, dës Linn als Ursaach vum Ausfall ze behandelen. Gitt weider op de Wee vun der App, well do enden déi meeschte Rapporten iwwer verbonnen awer ouni Trafic tatsächlech.

Statioun dräi: entscheet, ob d'Ëmuerdnung wierklech ass

D'Ëmuerdnung ass eng Eegenschaft vum Wee, an eng Diagnos ass just eng eenzeg Probe dovun. Sicht widderholl Meldungen fir dee selwechte Peer an enger kuerzer Fënster, a vergläicht se mat enger Opnam op béide Enden, ier Dir schlussfolgert, datt d'Netzwierk aggressiv ëmuerdnet.

En Handvoll Meldungen während enger Reconnectioun ass net ongewéinlech. En dauerhafte Stroum niewent echte App-Zäitlimitten ass Ënnersichung wäert, an déi Kombinatioun ass Beweis, net en Etikett.

Statioun véier: d'Fënsterparameteren, an wat se net sinn

replay-window hëlt eng Sequenzgréisst an en optionalen Zäitwäert, also ännert d'Erweiderung zwee verschidde Toleranzen gläichzäiteg. D'Erhéije vun der Zuel erlaabt Paketen, déi méi wäit aus der Rei sinn; den Zäitwäert begrenzt, wéi laang e Paket nach berécksiichtegt ka ginn. Erweiderung ass eng Politikännerung mat engem Sécherheetskäschten, an et verstäerkt weder eng Verschlësselung nach deaktivéiert et d'Duplikaterkennung. Déi zwou Toleranzen beweege sech zesummen, ob Dir dat wëllt oder net.

En ale authentifizéierte Paket kann nach ëmmer eng ongewollt Widderhuelung sinn, dofir behält den Empfänger dës Kontrollen. Méi Ëmuerdnung akzeptéieren heescht, méi vun deem Risiko ze akzeptéieren.

D'Warning mam mute dämpfen ännert, wat Dir gesitt, net wat den Daemon mécht. Wann d'Zil e rouege Log während engem bekannten Evenement ass, ass dat eng legitim operationell Wiel; wann d'Zil ass, eng Tunnell ze reparéieren, verstoppt d'Dämpfen de Beweis.

mute 20
replay-window 64 15

Den äusseren Transport op TCP ze wiesselen ännert d'Liwwer- a Recuperatiounsverhalen an füügt seng eegen Käschte fir d'Blockéierung vum Queuekapp derbäi. Et ass eng Designentscheedung, net eng éischt Äntwert op en eenzegt Log-Etikett. De Server nei installéieren ass méi schlëmm, well et den Ënnerscheed tëscht enger Statistik an der Grenz läscht, déi tatsächlech versot huet.

Statioun fënnef: testt de Wee, dee fir de Benotzer wichteg ass

Mat der Tunnell verbonnen, fuert den eegenen Test vun der App aus a liest hir gewielte Route, hire Weiderleesungszoustand an hire Réckwee. Eng Tunnell, déi Paketen nëmmen an eng Richtung transportéiert, produzéiert guer keng Zerécklaf-Meldungen, an dat ass vill méi heefeg wéi eng schwéier Ëmuerdnung.

Schreift op, wat Dir op all Statioun gemooss hutt. D'Opzeechnung ass et, déi verhënnert, datt den nächsten Rapport erëm bei der schrecklecher Linn ufänkt an vun do aus no baussen schafft.

D'Paket-ID-Implementéierung weist d'Reiefolleg vun der Statistik an der Entscheedung, an d'Handbuch beschreift de Sequenz- an Zäitberäich vun der Fënster. Déi zwee zesummen ze liesen ass dat, wat eng schrecklech Loglinn an eng bekannt Gréisst verwandelt. Keen vun deenen zwee seet eppes iwwer Äre spezifesche Wee, dofir bleiwen d'Miessungen uewen nach wichteg.