Waqgħa kull siegħa tal-OpenVPN: negozjar mill-ġdid jew konnessjoni mill-ġdid vera?

Sittin minuta, jew tletin, jew mija u għoxrin: waqgħa li taqa' fuq intervall tond kważi qatt mhi n-netwerk. OpenVPN iġedded skont timer il-materjal taċ-ċwievet li jipproteġi l-kanal tad-dejta, u timer iqsar minn dak li assumejt jidher eżattament bħal rabta li tfalli għal dejjem. L-utenti jirrappurtaw konnessjoni miksura filwaqt li l-log jirrapporta skambju ta' ċwievet b'suċċess. Il-gwida hawn taħt tifred dak it-tiġdid minn restart veru, taqra l-valur li jkun fil-forza tassew, u tibdlu biss wara li l-ispiża tkun fuq il-mejda.

Agħmel il-passi fl-ordni, għax l-ewwel wieħed jiddeċiedi jekk il-bqija tal-paġna tapplikax għalik xejn. Jekk taqbeż 'il quddiem, tqatta' filgħaxija ttuna timer għal ħsara li m'għandha x'taqsam xejn miegħu.

Iddistingwi reset artab minn restart

Il-linja tal-log hija d-dijanjosi kollha. Negozjar mill-ġdid jikteb reset artab u mbagħad skambju ġdid ta' ċwievet fl-istess tunnel: l-interface iżżomm l-indirizz tagħha, ir-rotot ma jerġgħux jiżdiedu, u s-sessjonijiet TCP stabbiliti normalment jgħaddu minnha b'pawsa. Restart veru jċarrat is-sessjoni, jerġa' jibni l-interface, forsi jagħti indirizz differenti tal-klijent, u joqtol kull konnessjoni fit-tul. Iż-żewġ avvenimenti huma ordinarji; wieħed biss minnhom jispjega sejħa maqtugħa.

journalctl -u openvpn-client@office -b --no-pager | grep -nE 'soft reset|Connection reset|reneg|TLS Error'
openvpn --version | head -n 1

Il-linja tal-verżjoni hija importanti għax il-kliem tal-log jinbidel bejn rilaxxi, u messaġġ li tiftakar minn 2.3 jista' jkun ifformulat mod ieħor f'2.6. Aqra l-log tiegħek stess u mhux siltiet ta' forum ta' ħadd ieħor. Iċċita l-linja eżatta meta titlob għajnuna, għax parafrażi titlef id-dettall li jidentifika l-avveniment. Jekk l-indirizz tal-interface ma jinbidilx matul l-avveniment u l-lista tas-sessjonijiet tgħaddi, qed tara tiġdid u s-sezzjonijiet li jifdal japplikaw.

Aqra t-timer effettiv, mhux il-file tiegħek

reneg-sec huwa n-numru ta' sekondi bejn in-negozjati mill-ġdid tal-kanal tad-dejta u l-valur awtomatiku tiegħu huwa 3600. Kull naħa ġġorr il-valur tagħha, u l-iżgħar mit-tnejn huwa dak li tassew iqanqal it-tiġdid. Dik ir-regola waħda tispjega l-biċċa l-kbira tar-rapporti: profil tal-klijent li jistabbilixxi numru kbir xorta jerġa' jiġi rrisettjat kull siegħa sakemm is-server iżomm il-valur awtomatiku.

grep -Rn --include='*.conf' -E 'reneg-sec|reneg-bytes' /etc/openvpn
# server side, including included files
grep -Rn -E '^reneg-sec' /etc/openvpn/server/

Aqra wkoll il-konfigurazzjoni effettiva tas-server, inkluż kull ma jimbutta, qabel ma tislet konklużjoni mill-file tal-klijent. Imbagħad għolli l-verbosità u osservah intervall wieħed mill-bidu sat-tmiem: il-livell 3 diġà juri l-linji tan-negozjar mill-ġdid, u t-timbri tal-ħin jgħidulek jekk l-avveniment jirrepetix kull 3600 sekonda jew isegwix xi attività.

Ibdel fejn tassew jiġi mbuttat

Il-mediċina li tiċċirkola hija linja waħda fil-profil tal-klijent, u madwar nofs il-ħin hija l-post żbaljat. Għax jirbaħ l-valur l-aktar baxx tan-naħa, klijent li jpoġġi t-timer fuq żero xorta jista' jiġi nnegozjat mill-ġdid minn server li ma nbidilx.

# on both ends, or on the side that owns the pushed configuration
reneg-sec 0

Fejn il-profili jiġu ġġenerati b'mod ċentrali, editja l-mudell u mhux il-kopja implimentata, inkella l-provvista li jmiss ser tirkupra l-valur li għadek kemm neħħejt. Ivverifika billi tosserva żewġ intervalli, mhux wieħed: siegħa kwieta waħda hija konsistenti ma' timer stabbilit għal 7200.

Iddeċiedi wkoll x'jiġri f'implimentazzjoni mħallta. Jekk tneħħi l-bidla lejn il-klijenti l-ewwel, jibqa' tieqa li fiha s-server għadu jqanqal it-tiġdid; dan huwa mingħajr ħsara iżda konfuż jekk tkun qed tosserva l-logs għal konferma. Ibdel l-ewwel in-naħa li jkollha l-valur iżgħar u s-sintomu jisparixxi fil-punt li tistenna.

X'qed tħalli meta tiddiżattiva n-negozjar mill-ġdid

In-negozjar mill-ġdid regolari jillimita kemm idum sett wieħed ta' ċwievet tal-kanal tad-dejta jipproteġi t-traffiku. It-tifi tat-timer ma jkissirx it-tunnel, u fuq router tad-dar jew gateway ta' uffiċċju żgħir l-espożizzjoni prattika hija modesta. Xorta hija skambju, u l-iskambju jistħoqqlu jissemma qabel ma tagħmlu. Li jinbidel huwa kemm idum sett wieħed ta' ċwievet jipproteġi sessjoni, mhux jekk it-tunnel jaħdimx xejn.

Il-każ raġonevoli biex tiddiżattivah huwa reset li jkisser xi ħaġa li ma tistax titkompla: sejħa li taqa', sessjoni ta' desktop mill-bogħod li trid terġa' tiġi stabbilita, backup li jerġa' jibda mill-bidu. Jekk il-pawsa ma tidhirx lill-utenti, iż-żamma tal-valur awtomatiku ma tiswiex xejn u tħares il-rotazzjoni taċ-ċwievet li ngħatatlek.

Ippreferi tissewwi l-kawża meta l-mudell jippermetti. Tiġdid li jfalli nofs triq waqt li l-ewwel handshake irnexxa jindika l-passaġġ u mhux it-timer: fittex problema tad-daqs tal-pakkett fl-iskambju akbar tal-kanal tal-kontroll, firewall b'istat li jwaddab il-fluss, jew proposta li tirnexxi biss fl-ewwel tentattiv. Kull wieħed minnhom iħalli traċċa fl-istess log li għadek kemm qtajt. It-tifi tat-timer jaħbi dik l-evidenza.

Meta l-intervall jindika x'imkien ieħor

Żewġ ġirien fil-konfigurazzjoni jipproduċu sintomi simili u tiswijiet differenti. ping-restart jerġa' jibda t-tunnel meta ma jasal xejn għal perjodu stabbilit, filwaqt li ping-exit iniżżel il-klijent għal kollox. Waqgħa fl-idle mingħajr ebda negozjar mill-ġdid imkien fil-log tappartjeni lil dawn, jew lil apparat NAT li ħalla l-mapping UDP jiskadi skont l-iskeda tiegħu stess.

Router tal-konsumatur, hotspots mobbli u NAT tal-livell tat-trasportatur kollha jħallu sessjonijiet UDP idle jiskadu mingħajr ma jgħidu lil ħadd. Dak il-falliment isegwi l-idle u mhux l-arloġġ, u dik hija l-indikazzjoni: sessjoni li taqa' wara għaxar minuti kwieti u tgħaddi siegħa ta' traffiku stabbli mhijiex qed tinnegozja mill-ġdid.

Ikteb tliet affarijiet qabel ma tbiddel ir-raba': l-intervall li kejjejt, il-valur effettiv li sibt u l-kmand li wrieh. Jekk l-intervall jiċċaqlaq meta jiċċaqlaq it-timer, il-mekkaniżmu huwa identifikat u t-tiswija hija deċiżjoni dwar l-iskambju ta' hawn fuq. Jekk ma jiċċaqlaqx, poġġi l-ambjent lura u kompli ħares lejn keepalives, stat tan-NAT u telf ta' pakketti.