OpenVPN atkārtojuma atkāpšanās žurnālā: ko rinda nepierāda

Rindā teikts PID_ERR replay-window backtrack occurred, un visi meklēšanas rezultāti to skaidro kā nomestus paketes un salauztu tuneli. Community OpenVPN 2.6 UDP ceļā šis ziņojums tiek rakstīts, kamēr uztveršanas funkcija vēl lemj, ko darīt ar paketi. Tā reģistrē jaunu atkāpšanās maksimumu, pēc tam tā pati funkcija salīdzina attālumu ar logu un reģistrēto stāvokli pirms pieņemšanas vai noraidīšanas. Žurnāla birku lasīšana kā spriedumu ir kļūda, kuras novēršanai šis kontrolsaraksts pastāv.

Pirmā pietura: identificējiet, kas ir rinda

Tas ir diagnostika par secības attālumu, nevis lēmums par savienojumu. Tas parādās paketes ID ieviešanā vietā, kur tiek atzīmēts nesen novērots atkāpšanās maksimums. Šī vieta atrodas pirms pieņemšanas vai noraidīšanas atzara, tāpēc to izraisījusī pakete joprojām var tikt piegādāta.

Apstipriniet, kurš resursdators to rakstīja un ar kādu detalizācijas pakāpi. Serveris un klients abi var izdot paketes ID ziņojumus, un vienas puses ziņojums neko nepasaka par otras puses uztveršanas stāvokli.

Otrā pietura: atrodiet šīs paketes rezultātu

Lasiet rindas pēc diagnostikas, nevis tikai diagnostiku. Tā pati funkcija turpinās uz loga un dublikātu pārbaudēm, tāpēc šīs konkrētās paketes rezultāts tiek noteikts dažas instrukcijas vēlāk un var būt arī pieņemšana. Žurnāla fragments, kas beidzas biedējošajā rindā, neko nepasaka par rezultātu. Meklējiet logu ap to, nevis pašu rindu:

journalctl -u openvpn-server@server --since "-10 min" | grep -n -A3 -B3 "backtrack occurred"

Ja žurnāls tajā laikā neuzrāda noraidījumu šim partnerim, pārtrauciet šo rindu uzskatīt par pārtraukuma cēloni. Pārejiet uz lietotnes ceļu, jo tur patiešām beidzas lielākā daļa ziņojumu par savienots, bet nav trafika.

Trešā pietura: izlemiet, vai pārkārtošana ir reāla

Pārkārtošana ir ceļa īpašība, un viena diagnostika ir tikai viens tās paraugs. Meklējiet atkārtotus ziņojumus šim pašam partnerim īsā logā un salīdziniet ar ierakstu abos galos, pirms secināt, ka tīkls agresīvi pārkārto.

Daži ziņojumi atkārtotas savienošanas laikā nav nekas neparasts. Nepārtraukta plūsma kopā ar reāliem lietotnes taimautiem ir pētīšanas vērta, un šī kombinācija ir pierādījums, nevis birka.

Ceturtā pietura: loga parametri un tas, kas tie nav

replay-window ņem secības lielumu un neobligātu laika vērtību, tāpēc tā paplašināšana maina divas dažādas tolerances vienlaikus. Skaitļa palielināšana pieļauj paketes, kas atrodas tālāk ārpus kārtības; laika vērtība ierobežo, cik ilgi paketi vēl var ņemt vērā. Paplašināšana ir politikas maiņa ar drošības izmaksām, un tā nestiprina šifru un neizslēdz dublikātu noteikšanu. Abas tolerances kustas kopā, vai jūs to gribējāt vai nē.

Veza autentificēta pakete joprojām var būt nevēlams atkārtojums, tāpēc uztvērējs patur šīs pārbaudes. Pieņemt vairāk pārkārtošanas nozīmē pieņemt vairāk no šī riska.

Brīdinājuma klusināšana ar mute maina to, ko jūs redzat, nevis to, ko dara dēmons. Ja mērķis ir klusāks žurnāls zināma notikuma laikā, tā ir leģitīma operatīva izvēle; ja mērķis ir salabot tuneli, klusināšana slēpj pierādījumus.

mute 20
replay-window 64 15

Ārējā transporta pārslēgšana uz TCP maina piegādes un atjaunošanas uzvedību un pievieno savas rindas galvas bloķēšanas izmaksas. Tas ir dizaina lēmums, nevis pirmā reakcija uz vienu žurnāla birku. Servera pārinstalēšana ir sliktāka, jo tā izdzēš atšķirību starp statistiku un robežu, kas patiešām sabojājās.

Piektā pietura: pārbaudiet ceļu, kas lietotājam ir svarīgs

Kad tunelis ir savienots, palaidiet pašas lietotnes testu un nolasiet tās izvēlēto maršrutu, pārsūtīšanas stāvokli un atgriešanās ceļu. Tunelis, kas pārvadā paketes tikai vienā virzienā, vispār nerada atkāpšanās ziņojumus, un tas ir daudz biežāk nekā nopietna pārkārtošana.

Pierakstiet, ko jūs izmērījāt katrā pieturā. Tieši ieraksts neļauj nākamajam ziņojumam atkal sākties pie biedējošās rindas un strādāt no turienes uz āru.

Paketes ID ieviešana parāda statistikas un lēmuma secību, un rokasgrāmata apraksta loga secības un laika apjomu. Abu lasīšana kopā ir tas, kas biedējošo žurnāla rindu pārvērš zināmā lielumā. Neviens no tiem neko nepasaka par jūsu konkrēto ceļu, tāpēc iepriekš minētie mērījumi joprojām ir svarīgi.