Враќање на повторувањето на OpenVPN во дневникот: што не докажува редот

Редот вели PID_ERR replay-window backtrack occurred, и сите резултати од пребарувањето го објаснуваат како испуштени пакети и скршен тунел. Во UDP патеката на Community OpenVPN 2.6, таа порака се пишува додека функцијата за прием сѐ уште одлучува што да прави со пакетот. Таа забележува нов максимум на враќање, потоа истата функција го споредува растојанието со прозорецот и забележаната состојба пред да прифати или одбие. Читањето на ознаката од дневникот како пресуда е грешката што овој контролен список треба да ја спречи.

Прво застанување: идентификувајте што е редот

Ова е дијагностика за растојанието во низата, не одлука за врска. Се појавува во имплементацијата на пакет-ID на местото каде што се забележува ново забележан максимум на враќање. Тоа место е пред гранката за прифаќање или одбивање, затоа пакетот што го предизвикува сѐ уште може да биде доставен.

Потврдете кој домаќин го напишал и со какво ниво на детали. Серверот и клиентот можат и двајцата да испраќаат пораки за пакет-ID, а пораката од едната страна не кажува ништо за состојбата на приемот од другата.

Второ застанување: најдете го резултатот за тој пакет

Читајте ги редовите по дијагностиката, а не само дијагностиката. Истата функција продолжува кон проверките на прозорецот и дупликатите, така што резултатот за тој конкретен пакет се одлучува неколку инструкции подоцна и сосема може да биде прифаќање. Извадок од дневникот што завршува на страшниот ред не кажува ништо за резултатот. Барајте прозорец околу него, не самиот ред:

journalctl -u openvpn-server@server --since "-10 min" | grep -n -A3 -B3 "backtrack occurred"

Ако дневникот не покажува никакво одбивање за тој партнер во тоа време, престанете да го сметате овој ред за причина за прекинот. Преминете на патеката на апликацијата, бидејќи таму повеќето извештаи за поврзано, но без сообраќај всушност завршуваат.

Трето застанување: одлучете дали прередувањето е вистинско

Прередувањето е својство на патеката, а една дијагностика е само еден нејзин примерок. Барајте повторени пораки за истиот партнер во краток прозорец и споредете ги со снимка на двата краја пред да заклучите дека мрежата агресивно прередува.

Неколку пораки за време на повторно поврзување не се ништо необично. Постојан тек заедно со вистински временски ограничувања на апликацијата вреди да се истражи, и таа комбинација е доказ, не ознака.

Четврто застанување: параметрите на прозорецот и што тие не се

replay-window зема големина на низата и изборна временска вредност, па неговото проширување менува две различни толеранции одеднаш. Зголемувањето на бројот дозволува пакети што се подалеку надвор од редот; временската вредност ограничува колку долго пакетот сѐ уште може да се разгледува. Проширувањето е промена на политиката со безбедносен трошок, и не го зајакнува шифрата ниту ја исклучува детекцијата на дупликати. Двете толеранции се движат заедно, без разлика дали сте го сакале тоа или не.

Стар автентициран пакет сѐ уште може да биде несакано повторување, затоа приемникот ги задржува овие проверки. Прифаќањето повеќе прередување значи прифаќање повеќе од тој ризик.

Занемувањето на предупредувањето со mute го менува она што го гледате, не она што го прави демонот. Ако целта е потивок дневник за време на познат настан, тоа е легитимен оперативен избор; ако целта е поправка на тунел, занемувањето ги крие доказите.

mute 20
replay-window 64 15

Префрлањето на надворешниот транспорт на TCP го менува однесувањето при достава и опоравување и додава сопствени трошоци за блокирање на главата на редот. Ова е дизајнерска одлука, не прв одговор на една ознака од дневникот. Преинсталирањето на серверот е полошо, бидејќи ја брише разликата помеѓу статистика и границата што навистина откажала.

Петто застанување: проверете ја патеката што е важна за корисникот

Со поврзан тунел, стартувајте го сопствениот тест на апликацијата и прочитајте ја нејзината избрана рута, состојбата на проследување и повратната патека. Тунел што пренесува пакети само во една насока воопшто не создава пораки за враќање, и тоа е многу почесто од сериозно прередување.

Запишете што измеривте на секое застанување. Токму записот спречува следниот извештај повторно да започне од страшниот ред и да работи нанадвор од таму.

Имплементацијата на пакет-ID го покажува редоследот на статистиката и одлуката, а прирачникот го опишува опсегот на низата и времето на прозорецот. Читањето на двете заедно е она што страшниот ред од дневникот го претвора во позната величина. Ниту едно од нив не кажува ништо за вашата конкретна патека, затоа горните мерења сѐ уште се важни.