OpenVPN-avspeling bakover i loggen: kva linja ikkje beviser

Linja seier PID_ERR replay-window backtrack occurred, og alle søkjeresultat forklarer det som droppa pakkar og ein øydelagd tunnel. I UDP-stien til Community OpenVPN 2.6 blir denne meldinga skriven medan mottaksfunksjonen framleis avgjer kva han skal gjere med pakken. Ho registrerer eit nytt maksimum for bakover sporing, og deretter samanliknar same funksjon avstanden med vindauget og den registrerte tilstanden før han godtar eller avviser. Å lese loggetiketten som dommen er feilen denne sjekklista finst for å hindre.

Stopp éin: identifiser kva linja er

Det er ein diagnose om sekvensavstand, ikkje ei avgjerd om ei tilkopling. Han visest i pakke-ID-implementasjonen på punktet der eit nyleg observert maksimum for bakover sporing blir notert. Det punktet ligg før greina for godtaking eller avvising, og difor kan ein pakke som utløyser det framleis bli levert.

Stadfest kva vert som skreiv henne, og med kva detaljgrad. Ein tenar og ein klient kan begge sende pakke-ID-meldingar, og ei melding frå den eine sida seier ingenting om mottakstilstanden på den andre.

Stopp to: finn resultatet for den pakken

Les linjene etter diagnosen i staden for berre diagnosen. Same funksjon held fram til vindauge- og duplikatkontrollane, så resultatet for akkurat den pakken blir avgjort nokre instruksjonar seinare og kan godt vere godtaking. Eit loggutdrag som sluttar på den skumle linja, seier ingenting om resultatet. Søk i eit vindauge rundt henne, ikkje sjølve linja:

journalctl -u openvpn-server@server --since "-10 min" | grep -n -A3 -B3 "backtrack occurred"

Viss loggen ikkje viser noka avvising for den peeren på det tidspunktet, slutt å handsame denne linja som årsaka til avbrotet. Gå vidare til stien til appen, for det er der dei fleste rapportane om tilkopla men ingen trafikk faktisk endar.

Stopp tre: avgjer om omordning er reell

Omordning er ein eigenskap ved stien, og éin diagnose er eitt enkelt prøve på han. Sjå etter gjentekne meldingar for same peer i eit kort vindauge, og samanlikn med eit opptak i begge endar før du konkluderer med at nettet omordnar aggressivt.

Ein handfull meldingar under ein gjenoppkopling er ikkje noko spesielt. Ein vedvarande straum saman med reelle app-timeout er verdt å undersøkje, og den kombinasjonen er bevis, ikkje ein etikett.

Stopp fire: vindaugeparametrane, og kva dei ikkje er

replay-window tek ein sekvensstorleik og ein valfri tidsverdi, så utviding endrar to ulike toleransar på éin gong. Å auke talet tillet pakkar som er lenger ute av rekkjefølgja; tidsverdien avgrensar kor lenge ein pakke framleis kan vurderast. Utviding er ei policyendring med ein tryggleikskostnad, og ho styrkjer ikkje ein cipher eller slår av duplikatdeteksjon. Dei to toleransane flyttar seg saman, enten du meinte det eller ikkje.

Ein gammal autentisert pakke kan framleis vere ein uønskt gjentaking, difor held mottakaren på desse kontrollane. Å godta meir omordning betyr å godta meir av den risikoen.

Å dempe åtvaringa med mute endrar kva du ser, ikkje kva daemonen gjer. Viss målet er ein rolegare logg under ein kjend hending, er det eit legitimt operasjonelt val; viss målet er å reparere ein tunnel, skjuler dempinga beviset.

mute 20
replay-window 64 15

Å byte den ytre transporten til TCP endrar leverings- og gjenopprettingsåtferd og legg til eigne kostnader ved blokkering av køhovudet. Det er ei designavgjerd, ikkje eit første svar på éin loggetikett. Å installere tenaren på nytt er verre, fordi det slettar skiljet mellom ein statistikk og grensa som faktisk svikta.

Stopp fem: test stien brukaren bryr seg om

Med tunnelen tilkopla, køyr den eigen testen til appen og les den valde ruta, videresendingstilstanden og returvegen. Ein tunnel som berre ber pakkar i éi retning, produserer ingen meldingar om bakover sporing i det heile, og det er langt vanlegare enn alvorleg omordning.

Skriv ned kva du målte ved kvart stopp. Registreringa er det som hindrar neste rapport i å byrje på nytt ved den skumle linja og arbeide utover derfrå.

Pakke-ID-implementasjonen viser rekkjefølgja til statistikken og avgjerda, og handboka skildrar sekvens- og tidsomfanget til vindauget. Å lese dei to saman er det som gjer ei skummel logglinje til ein kjend storleik. Ingen av dei seier noko om din spesifikke sti, difor er målingane ovanfor framleis viktige.