OpenVPN kartojimo atsitraukimas žurnale: ko eilutė neįrodo

Eilutėje rašoma PID_ERR replay-window backtrack occurred, ir visi paieškos rezultatai tai aiškina kaip numestus paketus ir sugedusį tunelį. Community OpenVPN 2.6 UDP kelyje šis pranešimas įrašomas, kol priėmimo funkcija dar sprendžia, ką daryti su paketu. Jis užfiksuoja naują didžiausią atsitraukimą, o tada ta pati funkcija palygina atstumą su langu ir įrašyta būsena prieš priimdama ar atmesdama. Žurnalo etiketės skaitymas kaip nuosprendžio yra klaida, kurios šis kontrolinis sąrašas skirtas išvengti.

Pirmas sustojimas: nustatykite, kas yra eilutė

Tai diagnostika apie sekos atstumą, o ne sprendimas apie ryšį. Ji pasirodo paketo ID įgyvendinime toje vietoje, kur pažymimas naujai pastebėtas didžiausias atsitraukimas. Ta vieta yra prieš priėmimo ar atmetimo šaką, todėl ją sukėlęs paketas vis tiek gali būti pristatytas.

Patvirtinkite, kuri kompiuterio sistema ją įrašė ir kokiu išsamumu. Serveris ir klientas abu gali siųsti paketo ID pranešimus, o vienos pusės pranešimas nieko nesako apie kitos pusės priėmimo būseną.

Antras sustojimas: raskite to paketo rezultatą

Skaitykite eilutes po diagnostikos, o ne vien diagnostiką. Ta pati funkcija tęsiasi į lango ir dublikatų patikras, todėl to konkretaus paketo rezultatas sprendžiamas po kelių instrukcijų ir gali būti priėmimas. Žurnalo ištrauka, pasibaigianti baisioje eilutėje, nieko nepasako apie rezultatą. Ieškokite lango aplink ją, o ne pačios eilutės:

journalctl -u openvpn-server@server --since "-10 min" | grep -n -A3 -B3 "backtrack occurred"

Jei žurnalas tuo metu nerodo jokio atmetimo tam partneriui, nustokite laikyti šią eilutę sutrikimo priežastimi. Pereikite prie programos kelio, nes būtent ten dauguma pranešimų apie prisijungta, bet nėra srauto iš tikrųjų pasibaigia.

Trečias sustojimas: nuspręskite, ar pertvarkymas tikras

Pertvarkymas yra kelio savybė, o viena diagnostika tebuvo vienas jos pavyzdys. Ieškokite pasikartojančių pranešimų tam pačiam partneriui trumpame lange ir palyginkite su įrašu abiejuose galuose, prieš darydami išvadą, kad tinklas agresyviai pertvarko.

Keli pranešimai perjungimo metu nėra nieko neįprasto. Nuolatinis srautas kartu su tikrais programos laiko limitais vertas tyrimo, ir tas derinys yra įrodymas, o ne etiketė.

Ketvirtas sustojimas: lango parametrai ir kas jie nėra

replay-window ima sekos dydį ir pasirenkamą laiko reikšmę, todėl jo išplėtimas keičia dvi skirtingas tolerancijas vienu metu. Skaičiaus padidinimas įleidžia toliau nuo tvarkos esančius paketus; laiko reikšmė riboja, kiek ilgai paketas dar gali būti svarstomas. Išplėtimas yra politikos pokytis su saugumo kaina, ir jis ne sustiprina šifro, ne išjungia dublikatų aptikimo. Abi tolerancijos juda kartu, nesvarbu, ar to norėjote, ar ne.

Senas autentifikuotas paketas vis dar gali būti nepageidaujamas kartojimas, todėl imtuvas laiko šias patikras. Priimti daugiau pertvarkymo reiškia priimti daugiau šios rizikos.

Įspėjimo nutildymas naudojant mute pakeičia tai, ką matote, o ne tai, ką daro demonas. Jei tikslas yra tylesnis žurnalas žinomo įvykio metu, tai teisėtas operacinis pasirinkimas; jei tikslas yra taisyti tunelį, nutildymas slepia įrodymus.

mute 20
replay-window 64 15

Išorinio transporto pakeitimas į TCP keičia pristatymo ir atkūrimo elgseną ir prideda savo eilės galvutės blokavimo išlaidas. Tai dizaino sprendimas, o ne pirmoji reakcija į vieną žurnalo etiketę. Serverio perdiegimas yra blogiau, nes jis ištrina skirtumą tarp statistikos ir ribos, kuri iš tikrųjų sugedo.

Penktas sustojimas: patikrinkite kelią, kuris svarbus vartotojui

Kai tunelis prijungtas, paleiskite pačios programos testą ir perskaitykite jos pasirinktą maršrutą, persiuntimo būseną ir grįžimo kelią. Tunelis, kuris perduoda paketus tik viena kryptimi, visiškai negamina atsitraukimo pranešimų, ir tai yra daug dažniau nei stiprus pertvarkymas.

Užsirašykite, ką išmatavote kiekviename sustojime. Būtent įrašas neleidžia kitai ataskaitai vėl pradėti nuo baisios eilutės ir dirbti iš ten į išorę.

Paketo ID įgyvendinimas rodo statistikos ir sprendimo tvarką, o vadovas aprašo lango sekos ir laiko sritį. Abiejų skaitymas kartu yra tai, kas baisią žurnalo eilutę paverčia žinomu dydžiu. Nė vienas jų nieko nesako apie jūsų konkretų kelią, todėl aukščiau pateikti matavimai vis dar svarbūs.