OpenVPN jibqa’ jipprova mill-ġdid wara żball TLS: kif twaqqafu

Il-klijent jikkonnetta, jitlef waqt in-negozjati TLS, jistenna u jerġa’ jipprova l-istess server bl-istess riżultat. Taħt sorveljatur li jerġa’ jibda proċess li jitlef, dawk it-tentattivi jsiru loop bla tmiem fil-journal, u l-ewwel linja dijanjostika tiġri ’l bogħod minn idejhom. OpenVPN joffri għażla li ddawwar dak il-falliment fin-negozjati f’ħruġ viżibbli minflok tentattiv ieħor. Din hija sistema għad-dijanjosi u s-sorveljanza, mhux tiswija, għalhekk tgħaddha ma’ politika li tħalli l-proċess fil-fatt jibqa’ waqaf.

Iċ-ċiklu li jaħbi l-ewwel żball

Dak li taraw huwa blokk li jerġa’ jiġi u mhux falliment wieħed: tentattiv ta’ konnessjoni, żball TLS, pawsa u mbagħad l-istess sekwenza. Kull ripetizzjoni timbotta l-linja oriġinali iktar ’il fuq fil-journal. Jekk l-unit jerġa’ jibda meta jitlef, iċ-ċiklu jista’ jibqa’ għal sigħat mingħajr ħadd ma jaqra l-kawża. Is-sintomu huwa l-loop, għalkemm id-difett ta’ taħt huwa problema waħda ta’ negozjati.

Is-sessjonijiet interattivi jġorru dan għax falliment temporanju jista’ jisparixxi fit-tentattiv li jmiss. Il-konnessjonijiet awtomatizzati ma jistgħux jaffordjaw l-istess ottimiżmu: il-proċess irid jieqaf biex bniedem jew monitor jara l-istat.

Qabel ma tibdel xejn, aqbad ċiklu sħiħ wieħed. Innottja l-indirizz remot, il-fażi TLS imsemmija fl-iżball u jekk il-proċess joħroġ xejn.

Il-mekkaniżmu tat-tentattivi mill-ġdid wara l-loop

It-tentattiv mill-ġdid huwa l-predispost għax diversi timeout mhux relatati jaqsmu l-istess mekkaniżmu. connect-retry jistabbilixxi l-intervall bejn it-tentattivi ta’ konnessjoni, connect-retry-max jista’ jillimita kemm-il darba jiġi ppruvat kull dħul remot, u resolv-retry jirregola t-tfittxijiet tal-ismijiet ripetuti. Falliment tan-negozjati TLS jasal għal dak il-mekkaniżmu bħala avveniment tat-trasport, għalhekk il-klijent jiskeda tentattiv ieħor minflok jirrapporta. Il-valur predispost jgħin fuq konnessjoni instabbli u jagħmel ħsara f’difett li ma jistax ifejjaq.

L-għażla --tls-exit tbiddel biss il-każ tan-negozjati. Il-manwal jiddeskriviha bħala ħruġ meta jitlef in-negozjat TLS, li huwa iktar dejjaq milli joħroġ f’kull żball. It-timeouts, il-fallimenti tar-resolver u r-rifjuti tal-awtentikazzjoni jżommu l-imġiba tagħhom.

Ġġiegħel lill-klijent joħroġ meta jitlef TLS

Poġġi tls-exit fil-profil li l-klijent fil-fatt jgħabbi, jew agħti --tls-exit meta tibdah, u ħaddmu darba fil-quddiem. Aqra l-istat tal-ħruġ u l-aħħar linja tal-log, għax l-istat huwa dak li fuqu jaġixxi sorveljatur. Ħruġ mhux żero wara falliment fin-negozjati huwa r-riżultat maħsub. Jekk il-proċess ikompli jipprova minflok jispiċċa, l-għażla mhijiex fil-profil li l-klijent fil-fatt jgħabbi.

Is-sorveljatur jiddeċiedi jekk dak il-ħruġ huwiex viżibbli. Unit systemd b’Restart=always jew Restart=on-failure jerġa’ jibda l-klijent, għalhekk il-loop ikompli u l-għażla tidher li ma tagħmel xejn. Iċċekkja l-politika qabel ma tagħti t-tort lill-klijent:

systemctl show -p Restart -p RestartSec openvpn-client@office
journalctl -u openvpn-client@office -n 40 --no-pager

Restart=no iħalli l-proċess waqaf, u Restart=on-failure xorta jerġa’ jibda wara stat mhux żero. Jekk trid li l-falliment ikun viżibbli imma li s-servizz jirkupra minn crash mhux relatati, issettja Restart=on-failure u uża StartLimitBurst u StartLimitIntervalSec biex twaqqaf l-istorm tat-tnedijiet mill-ġdid. Imbagħad aqra l-istat tal-unit biex tikkonferma l-aħħar kodiċi tal-ħruġ: systemctl status jirrappurtah, u l-journal iżomm l-ewwel żball ’il fuq mit-tnedijiet mill-ġdid.

Ikteb id-deċiżjoni fl-unit jew fin-noti tal-profil. Profil li joħroġ meta jitlef TLS jidher bħala inċident għall-persuna li jmiss sakemm ir-raġuni ma tkunx irreġistrata. Iddikjara liema fallimenti għandhom iwaqqfu l-proċess u liema għandhom jiġu ppruvati mill-ġdid.

Ipprovah b’punt tat-tmiem li jintrema

Biex tara l-imġiba qabel ma tafdaha, ikkopja l-profil u ddawwar il-kopja lejn punt tat-tmiem li jaċċetta konnessjoni TCP imma qatt ma jitkellem OpenVPN. Biżżejjed semmiegħ li jwieġeb u mbagħad jibqa’ sieket. B’tls-exit, il-klijent għandu jispiċċa meta jitlef il-handshake; mingħajrha, l-istess profil għandu jkompli jdur. Uża l-kopja, qatt il-profil li jaħdem.

Qabbel iż-żewġ runs bl-istat tal-ħruġ u bl-ewwel linja tal-iżball, mhux b’dak kemm dam kull wieħed. L-istat jgħidlek jekk l-għażla nidietx, u l-ewwel linja tgħidlek liema fażi falliet.

Neħħi l-profil tat-test meta tispiċċa. Kopja b’punt tat-tmiem żbaljat apposta hija nassa għal kulħadd li wara jibda kull profil fid-direttorju.

Fażijiet li din l-għażla qatt ma tilħaq

Rifjut tal-awtentikazzjoni huwa fażi aktar tard. Jekk is-server jevalwa l-kont u jirrifjutah, TLS diġà ġie nnegozjat, għalhekk tls-exit ma jnidix. Is-settings tat-tentattivi mill-ġdid tal-awtentikazzjoni huma l-post li jmiss li wieħed iħares lejh, u r-raġuni tas-server timporta iktar mill-aħħar linja tal-klijent. Password żbaljat u ċertifikat nieqes jistgħu jipproduċu messaġġi simili fuq in-naħa tal-klijent.

Rotta nieqsa, resolver żbaljat jew gateway li ma tistax tintlaħaq huma wkoll barra l-għażla, għax mhumiex fallimenti tan-negozjati. Telf ta’ pakketti sieket huwa l-inqas każ ovvju: skont kemm avanza l-iskambju, il-klijent jista’ jirrapporta falliment tan-negozjati jew sempliċement jaqbeż iż-żmien.

Żomm id-distinzjoni fin-noti tiegħek. Is-setting hija għad-dijanjosi u s-sorveljanza aktar milli għat-tiswija, għalhekk ma ssewwix nuqqas ta’ qbil fis-cipher, problema taċ-ċertifikat jew port żbaljat. Sewwi l-kawża tan-negozjati li fallew l-ewwel, imbagħad iddeċiedi jekk il-ħruġ immedjat għadux jaqbel mad-deployment.