Jejak balik main semula OpenVPN dalam log: apa yang tidak dibuktikan baris itu

Baris itu menyatakan PID_ERR replay-window backtrack occurred, dan semua hasil carian menjelaskannya sebagai paket yang digugurkan dan terowong yang rosak. Dalam laluan UDP Community OpenVPN 2.6, mesej itu ditulis semasa fungsi penerimaan masih memutuskan apa yang perlu dilakukan dengan paket. Ia merekodkan maksimum jejak balik yang baharu, kemudian fungsi yang sama membandingkan jarak dengan tetingkap dan keadaan yang direkodkan sebelum menerima atau menolak. Membaca label log sebagai keputusan ialah kesilapan yang ingin dicegah oleh senarai semak ini.

Perhentian satu: kenal pasti apa itu baris

Ini ialah diagnostik tentang jarak jujukan, bukan keputusan tentang sambungan. Ia muncul dalam pelaksanaan ID paket pada titik apabila maksimum jejak balik yang baru diperhatikan dicatat. Titik itu terletak sebelum cabang terima-atau-tolak, sebab itu paket yang mencetuskannya masih boleh dihantar.

Sahkan hos mana yang menulisnya dan pada tahap butiran apa. Pelayan dan klien kedua-duanya boleh mengeluarkan mesej ID paket, dan mesej dari satu pihak tidak mengatakan apa-apa tentang keadaan penerimaan pihak yang lain.

Perhentian dua: cari hasil untuk paket itu

Baca baris selepas diagnostik, bukan diagnostik sahaja. Fungsi yang sama meneruskan ke pemeriksaan tetingkap dan pendua, jadi hasil untuk paket tertentu itu diputuskan beberapa arahan kemudian dan mungkin juga penerimaan. Petikan log yang berakhir pada baris menakutkan tidak memberitahu apa-apa tentang hasilnya. Cari tetingkap di sekelilingnya, bukan baris itu sendiri:

journalctl -u openvpn-server@server --since "-10 min" | grep -n -A3 -B3 "backtrack occurred"

Jika log tidak menunjukkan sebarang penolakan untuk rakan itu pada masa itu, berhenti menganggap baris ini sebagai punca gangguan. Teruskan ke laluan aplikasi, kerana di situlah kebanyakan laporan bersambung tetapi tiada trafik sebenarnya berakhir.

Perhentian tiga: putuskan sama ada penyusunan semula itu nyata

Penyusunan semula ialah sifat laluan, dan satu diagnostik hanyalah satu sampelnya. Cari mesej berulang untuk rakan yang sama dalam tetingkap pendek, dan bandingkan dengan tangkapan di kedua-dua hujung sebelum membuat kesimpulan bahawa rangkaian menyusun semula secara agresif.

Beberapa mesej semasa penyambungan semula bukanlah perkara luar biasa. Aliran berterusan bersama tamat masa aplikasi yang sebenar wajar disiasat, dan gabungan itu ialah bukti, bukan label.

Perhentian empat: parameter tetingkap, dan apa yang bukan

replay-window mengambil saiz jujukan dan nilai masa pilihan, jadi melebarkannya mengubah dua toleransi berbeza sekali gus. Menaikkan nombor itu membenarkan paket yang lebih jauh daripada susunan; nilai masa mengehadkan berapa lama paket masih boleh dipertimbangkan. Melebarkan ialah perubahan dasar dengan kos keselamatan, dan ia tidak menguatkan sifer atau mematikan pengesanan pendua. Kedua-dua toleransi bergerak bersama, sama ada anda niatkan atau tidak.

Paket lama yang disahkan masih boleh menjadi pengulangan yang tidak diingini, kerana itu penerima mengekalkan pemeriksaan ini. Menerima lebih banyak penyusunan semula bermakna menerima lebih banyak risiko itu.

Menyenyapkan amaran dengan mute mengubah apa yang anda lihat, bukan apa yang daemon lakukan. Jika matlamatnya log yang lebih tenang semasa peristiwa yang diketahui, itu pilihan operasi yang sah; jika matlamatnya membaiki terowong, menyenyapkan menyembunyikan bukti.

mute 20
replay-window 64 15

Menukar pengangkutan luar kepada TCP mengubah tingkah laku penghantaran dan pemulihan serta menambah kos penyekatan kepala barisannya sendiri. Itu keputusan reka bentuk, bukan tindak balas pertama terhadap satu label log. Memasang semula pelayan lebih buruk, kerana ia memadamkan perbezaan antara statistik dan sempadan yang sebenarnya gagal.

Perhentian lima: uji laluan yang penting kepada pengguna

Dengan terowong disambungkan, jalankan ujian aplikasi itu sendiri dan baca laluan yang dipilihnya, keadaan penghantaran dan laluan pulangan. Terowong yang membawa paket hanya dalam satu arah tidak menghasilkan sebarang mesej jejak balik, dan itu jauh lebih biasa daripada penyusunan semula teruk.

Catat apa yang anda ukur pada setiap perhentian. Catatan itulah yang menghalang laporan seterusnya daripada bermula semula pada baris menakutkan dan bekerja ke luar dari situ.

Pelaksanaan ID paket menunjukkan susunan statistik dan keputusan, dan manual menerangkan skop jujukan dan masa tetingkap. Membaca kedua-duanya bersama-sama itulah yang mengubah baris log menakutkan menjadi kuantiti yang diketahui. Kedua-duanya tidak mengatakan apa-apa tentang laluan khusus anda, sebab itu ukuran di atas masih penting.