TLS പിശകിന് ശേഷം OpenVPN വീണ്ടും വീണ്ടും ശ്രമിക്കുന്നു: എങ്ങനെ നിർത്താം

ക്ലയന്റ് കണക്ട് ചെയ്യുന്നു, TLS ചർച്ചയ്ക്കിടയിൽ പരാജയപ്പെടുന്നു, കാത്തിരിക്കുന്നു, അതേ ഫലത്തോടെ അതേ സെർവർ വീണ്ടും ശ്രമിക്കുന്നു. പരാജയപ്പെട്ട പ്രക്രിയ വീണ്ടും ആരംഭിക്കുന്ന സൂപ്പർവൈസറിന് കീഴിൽ ആ ശ്രമങ്ങൾ ജേണലിൽ അനന്തമായ ലൂപ്പായി മാറുന്നു, ആദ്യ ഡയഗ്നോസ്റ്റിക് വരി കൈയെത്താത്ത ദൂരത്തേക്ക് പോകുന്നു. OpenVPN ആ ചർച്ചാ പരാജയത്തെ മറ്റൊരു ശ്രമത്തിനു പകരം ദൃശ്യമായ പുറത്തുകടക്കലാക്കി മാറ്റുന്ന ഓപ്ഷൻ നൽകുന്നു. ഇത് ഡയഗ്നോസ്റ്റിക്സിനും മേൽനോട്ടത്തിനുമുള്ള ക്രമീകരണമാണ്, അറ്റകുറ്റപ്പണിയല്ല, അതിനാൽ പ്രക്രിയ താഴെ തുടരാൻ യഥാർത്ഥത്തിൽ അനുവദിക്കുന്ന നയവുമായി ഇത് ചേർക്കുക.

ആദ്യ പിശക് മറയ്ക്കുന്ന ചക്രം

നിങ്ങൾ കാണുന്നത് ഒരു പരാജയമല്ല, ആവർത്തിക്കുന്ന ബ്ലോക്കാണ്: ഒരു കണക്ഷൻ ശ്രമം, ഒരു TLS പിശക്, ഒരു ഇടവേള, തുടർന്ന് അതേ ക്രമം. ഓരോ ആവർത്തനവും യഥാർത്ഥ വരിയെ ജേണലിൽ കൂടുതൽ മുകളിലേക്ക് തള്ളുന്നു. യൂണിറ്റ് പരാജയത്തിൽ വീണ്ടും ആരംഭിച്ചാൽ, ആരും കാരണം വായിക്കാതെ ചക്രം മണിക്കൂറുകളോളം തുടരാം. ലക്ഷണം ലൂപ്പാണ്, അടിസ്ഥാന തകരാർ ഒരു ചർച്ചാ പ്രശ്നമാണെങ്കിലും.

സംവേദനാത്മക സെഷനുകൾ ഇത് സഹിക്കുന്നു, കാരണം താൽകാലിക പരാജയം അടുത്ത ശ്രമത്തിൽ മാറിയേക്കാം. ഓട്ടോമേറ്റഡ് കണക്ഷനുകൾക്ക് അതേ ആശാവാദം അനുവദിക്കാനാവില്ല: മനുഷ്യനോ മോണിറ്ററിനോ നില കാണാൻ പ്രക്രിയ നിർത്തണം.

എന്തെങ്കിലും മാറ്റുന്നതിന് മുമ്പ് ഒരു പൂർണ്ണ ചക്രം രേഖപ്പെടുത്തുക. ദൂരസ്ഥ വിലാസം, പിശകിൽ പറയുന്ന TLS ഘട്ടം, പ്രക്രിയ എങ്ങനെയെങ്കിലും പുറത്തുകടക്കുന്നുണ്ടോ എന്നിവ കുറിക്കുക.

ലൂപ്പിനു പിന്നിലെ പുനഃശ്രമ യന്ത്രം

പുനഃശ്രമം സ്വതവേയാണ്, കാരണം പരസ്പരം ബന്ധമില്ലാത്ത നിരവധി ടൈംഔട്ടുകൾ ഒരേ യന്ത്രം പങ്കിടുന്നു. connect-retry കണക്ഷൻ ശ്രമങ്ങൾക്കിടയിലെ ഇടവേള സജ്ജമാക്കുന്നു, connect-retry-max ഓരോ ദൂരസ്ഥ എൻട്രിയും എത്ര തവണ ശ്രമിക്കാമെന്ന് പരിമിതപ്പെടുത്താം, resolv-retry ആവർത്തിച്ചുള്ള പേര് തിരയലുകൾ നിയന്ത്രിക്കുന്നു. TLS ചർച്ചാ പരാജയം ഒരു ഗതാഗത സംഭവമായി ആ യന്ത്രത്തിലെത്തുന്നു, അതിനാൽ ക്ലയന്റ് റിപ്പോർട്ട് ചെയ്യുന്നതിനു പകരം മറ്റൊരു ശ്രമം ഷെഡ്യൂൾ ചെയ്യുന്നു. സ്ഥിരസ്ഥിതി അസ്ഥിരമായ ലിങ്കിന് സഹായകമാണ്, സുഖപ്പെടുത്താനാവാത്ത തകരാറിന് ഹാനികരവുമാണ്.

--tls-exit ഓപ്ഷൻ ചർച്ചയുടെ കാര്യം മാത്രം മാറ്റുന്നു. TLS ചർച്ചാ പരാജയത്തിൽ പുറത്തുകടക്കൽ എന്നാണ് മാന്വൽ ഇതിനെ വിവരിക്കുന്നത്, അത് എല്ലാ പിശകിലും പുറത്തുകടക്കുന്നതിനേക്കാൾ ഇടുങ്ങിയതാണ്. ടൈംഔട്ടുകൾ, റിസോൾവർ പരാജയങ്ങൾ, ഓതന്റിക്കേഷൻ നിരസിക്കലുകൾ എന്നിവ അവയുടെ സ്വന്തം സ്വഭാവം നിലനിർത്തുന്നു.

TLS പരാജയത്തിൽ ക്ലയന്റിനെ പുറത്തുകടക്കാൻ പ്രേരിപ്പിക്കുക

ക്ലയന്റ് യഥാർത്ഥത്തിൽ ലോഡ് ചെയ്യുന്ന പ്രൊഫൈലിൽ tls-exit ഇടുക, അല്ലെങ്കിൽ ആരംഭിക്കുമ്പോൾ --tls-exit നൽകുക, എന്നിട്ട് ഒരിക്കൽ ഫോർഗ്രൗണ്ടിൽ പ്രവർത്തിപ്പിക്കുക. എക്സിറ്റ് സ്റ്റാറ്റസും അവസാന ലോഗ് വരിയും വായിക്കുക, കാരണം സൂപ്പർവൈസർ സ്റ്റാറ്റസിന്റെ അടിസ്ഥാനത്തിലാണ് പ്രവർത്തിക്കുന്നത്. ചർച്ചാ പരാജയത്തിനു ശേഷമുള്ള പൂജ്യമല്ലാത്ത എക്സിറ്റാണ് ഉദ്ദേശിച്ച ഫലം. പ്രക്രിയ അവസാനിക്കുന്നതിനു പകരം പുനഃശ്രമം തുടരുകയാണെങ്കിൽ, ഓപ്ഷൻ ക്ലയന്റ് യഥാർത്ഥത്തിൽ ലോഡ് ചെയ്യുന്ന പ്രൊഫൈലിലില്ല.

ആ പുറത്തുകടക്കൽ ദൃശ്യമാണോ എന്ന് സൂപ്പർവൈസർ തീരുമാനിക്കുന്നു. Restart=always അല്ലെങ്കിൽ Restart=on-failure ഉള്ള systemd യൂണിറ്റ് ക്ലയന്റിനെ വീണ്ടും ആരംഭിക്കുന്നു, അതിനാൽ ലൂപ്പ് തുടരുന്നു, ഓപ്ഷൻ ഒന്നും ചെയ്യാത്തതുപോലെ തോന്നുന്നു. ക്ലയന്റിനെ കുറ്റപ്പെടുത്തുന്നതിന് മുമ്പ് നയം പരിശോധിക്കുക:

systemctl show -p Restart -p RestartSec openvpn-client@office
journalctl -u openvpn-client@office -n 40 --no-pager

Restart=no പ്രക്രിയ താഴെ തുടരാൻ അനുവദിക്കുന്നു, Restart=on-failure പൂജ്യമല്ലാത്ത സ്റ്റാറ്റസിനു ശേഷവും വീണ്ടും ആരംഭിക്കുന്നു. പരാജയം ദൃശ്യമാകണമെന്നും എന്നാൽ സേവനം ബന്ധമില്ലാത്ത ക്രാഷുകളിൽ നിന്ന് കരകയറണമെന്നും ആഗ്രഹിക്കുന്നുവെങ്കിൽ Restart=on-failure സജ്ജമാക്കി, പുനരാരംഭ കൊടുങ്കാറ്റ് നിർത്താൻ StartLimitBurst, StartLimitIntervalSec എന്നിവ ഉപയോഗിക്കുക. തുടർന്ന് അവസാന എക്സിറ്റ് കോഡ് സ്ഥിരീകരിക്കാൻ യൂണിറ്റിന്റെ സ്റ്റാറ്റസ് വായിക്കുക: systemctl status അത് റിപ്പോർട്ട് ചെയ്യുന്നു, ജേണൽ ആദ്യ പിശക് പുനരാരംഭങ്ങൾക്ക് മുകളിൽ സൂക്ഷിക്കുന്നു.

തീരുമാനം യൂണിറ്റിലോ പ്രൊഫൈൽ കുറിപ്പുകളിലോ എഴുതുക. TLS പരാജയത്തിൽ പുറത്തുകടക്കുന്ന പ്രൊഫൈൽ, കാരണം രേഖപ്പെടുത്തിയില്ലെങ്കിൽ അടുത്ത ആൾക്ക് അപകടമായി തോന്നും. ഏത് പരാജയങ്ങൾ പ്രക്രിയ നിർത്തണം, ഏത് വീണ്ടും ശ്രമിക്കണം എന്ന് വ്യക്തമാക്കുക.

ഒരു തവണ മാത്രം ഉപയോഗിക്കുന്ന എൻഡ്പോയിന്റ് ഉപയോഗിച്ച് തെളിയിക്കുക

സ്വഭാവം വിശ്വസിക്കുന്നതിന് മുമ്പ് കാണാൻ, പ്രൊഫൈൽ പകർത്തി പകർപ്പ് TCP കണക്ഷൻ സ്വീകരിക്കുന്നതും എന്നാൽ ഒരിക്കലും OpenVPN സംസാരിക്കാത്തതുമായ എൻഡ്പോയിന്റിലേക്ക് ചൂണ്ടിക്കാണിക്കുക. മറുപടി നൽകി പിന്നീട് മൗനമാകുന്ന ഒരു ശ്രോതാവ് മതി. tls-exit ഉണ്ടെങ്കിൽ ഹാൻഡ്ഷേക്ക് പരാജയപ്പെടുമ്പോൾ ക്ലയന്റ് അവസാനിക്കണം; അതില്ലെങ്കിൽ അതേ പ്രൊഫൈൽ ചുറ്റിക്കറങ്ങുന്നത് തുടരണം. പകർപ്പ് ഉപയോഗിക്കുക, പ്രവർത്തിക്കുന്ന പ്രൊഫൈൽ ഒരിക്കലും അല്ല.

രണ്ട് റണ്ണുകളെ എക്സിറ്റ് സ്റ്റാറ്റസും ആദ്യ പിശക് വരിയും ഉപയോഗിച്ച് താരതമ്യം ചെയ്യുക, ഓരോന്നും എത്ര നേരം നീണ്ടുവെന്നതല്ല. ഓപ്ഷൻ പ്രവർത്തിച്ചോ എന്ന് സ്റ്റാറ്റസ് പറയുന്നു, ഏത് ഘട്ടം പരാജയപ്പെട്ടുവെന്ന് ആദ്യ വരി പറയുന്നു.

കഴിഞ്ഞാൽ പരീക്ഷണ പ്രൊഫൈൽ നീക്കം ചെയ്യുക. ബോധപൂർവം തെറ്റായ എൻഡ്പോയിന്റുള്ള പകർപ്പ്, പിന്നീട് ഡയറക്ടറിയിലെ എല്ലാ പ്രൊഫൈലും ആരംഭിക്കുന്നവർക്ക് ഒരു കെണിയാണ്.

ഈ ഓപ്ഷൻ ഒരിക്കലും എത്താത്ത ഘട്ടങ്ങൾ

ഓതന്റിക്കേഷൻ നിരസിക്കൽ പിന്നീടുള്ള ഘട്ടമാണ്. സെർവർ അക്കൗണ്ട് വിലയിരുത്തി നിരസിക്കുകയാണെങ്കിൽ TLS ഇതിനകം ചർച്ച ചെയ്തു കഴിഞ്ഞു, അതിനാൽ tls-exit പ്രവർത്തിക്കില്ല. ഓതന്റിക്കേഷന്റെ പുനഃശ്രമ ക്രമീകരണങ്ങളാണ് അടുത്തതായി നോക്കേണ്ടത്, സെർവറിന്റെ കാരണം ക്ലയന്റിന്റെ അവസാന വരിയേക്കാൾ പ്രധാനമാണ്. തെറ്റായ പാസ്വേഡും ഇല്ലാത്ത സർട്ടിഫിക്കറ്റും ക്ലയന്റ് ഭാഗത്ത് സമാനമായ സന്ദേശങ്ങൾ ഉണ്ടാക്കാം.

ഇല്ലാത്ത റൂട്ട്, തെറ്റായ റിസോൾവർ, എത്തിച്ചേരാനാവാത്ത ഗേറ്റ്വേ എന്നിവയും ഓപ്ഷന് പുറത്താണ്, കാരണം അവ ചർച്ചാ പരാജയങ്ങളല്ല. നിശബ്ദ പാക്കറ്റ് നഷ്ടം ഏറ്റവും അവ്യക്തമായ കേസാണ്: കൈമാറ്റം എത്ര ദൂരം പോയി എന്നതിന് ആശ്രയിച്ച്, ക്ലയന്റ് ചർച്ചാ പരാജയം റിപ്പോർട്ട് ചെയ്തേക്കാം അല്ലെങ്കിൽ സമയപരിധി കഴിഞ്ഞേക്കാം.

നിങ്ങളുടെ കുറിപ്പുകളിൽ ഈ വ്യത്യാസം നിലനിർത്തുക. ഈ ക്രമീകരണം അറ്റകുറ്റപ്പണിക്കല്ല, ഡയഗ്നോസ്റ്റിക്സിനും മേൽനോട്ടത്തിനുമാണ്, അതിനാൽ ഇത് സൈഫർ പൊരുത്തക്കേട്, സർട്ടിഫിക്കറ്റ് പ്രശ്നം അല്ലെങ്കിൽ തെറ്റായ പോർട്ട് ശരിയാക്കുന്നില്ല. ആദ്യം പരാജയപ്പെട്ട ചർച്ചയുടെ കാരണം ശരിയാക്കുക, തുടർന്ന് തൽക്ഷണ പുറത്തുകടക്കൽ വിന്യാസത്തിന് ഇപ്പോഴും യോജിക്കുന്നുണ്ടോ എന്ന് തീരുമാനിക്കുക.