د OpenVPN ساعتي قطع: بیا خبرې اترې که ریښتینی بیا نښلول؟

شپېته دقیقې، یا دېرش، یا سل او شل: په ګرد وقفه کې راغلی قطع تقریباً هیڅکله شبکه نه ده. OpenVPN د ټایمر له مخې هغه کیلي مواد تازه کوي چې د معلوماتو چینل ساتي، او له هغه چې تاسو فرض کړی وړوکتیا ټایمر په دوامداره توګه ناکامه اړیکې په څېر ښکاري. کاروونکي د پرې شوې اړیکې راپور ورکوي، په داسې حال کې چې لاګ د بریالۍ کیلي تبادلې راپور ورکوي. لاندې لارښود هغه تازه کول له ریښتیني بیا پیل څخه بیلوي، هغه ارزښت لولي چې واقعاً نافذ دی، او یوازې هغه وخت یې بدلوي چې لګښت پر میز وي.

ګامونه په ترتیب سره وکړئ، ځکه لومړی پرېکړه کوي چې د پاڼې پاتې برخه تاسو ته په بشپړ ډول تطبیق کیږي که نه. که وړاندې وځئ، یوه ماښام به د هغې تېروتنې لپاره چې هیڅ تړاو ورسره نلري ټایمر تنظیم کولو کې تېر کړئ.

نرم بیا تنظیم له بیا پیل څخه وپیژنئ

د لاګ کرښه ټول تشخیص دی. بیا خبرې اترې یو نرم بیا تنظیم لیکي او بیا په هماغه تونل کې نوې کیلي تبادله: انټرفیس خپل پته ساتي، لارې بیا نه ورزیاتېږي، او جوړ شوي TCP غونډې معمولاً د وقفې سره ژوندي پاتې کیږي. ریښتینی بیا پیل غونډه څیرې کوي، انټرفیس بیا جوړوي، کیدای شي بله کاروونکي پته ورکړي، او هر اوږدمهاله تړاو وژني. دواړه پېښې عادي دي؛ یوازې یوه یې پرې شوې زنګ تشرېح کوي.

journalctl -u openvpn-client@office -b --no-pager | grep -nE 'soft reset|Connection reset|reneg|TLS Error'
openvpn --version | head -n 1

د نسخې کرښه مهمه ده ځکه د لاګ عبارتونه د خپرونو ترمنځ بدلیږي، او هغه پیغام چې له 2.3 څخه یې یاد دی په 2.6 کې بېل ډول لیکل شوی وي. د بل چا د فورمې برخې پرځای خپل لاګ ولولئ. کله چې مرسته غواړئ هماغه دقیقه کرښه نقل کړئ، ځکه بیا بیانول هغه تفصیل له لاسه ورکوي چې پېښه پیژني. که د پېښې په اوږدو کې د انټرفیس پته نه وي بدله شوې او د غونډو لیست ژوندی پاتې وي، تاسو تازه کول ګورئ او پاتې برخې تطبیق کیږي.

نافذ ټایمر ولولئ، خپل فایل نه

reneg-sec د معلوماتو چینل د بیا خبرو اترو ترمنځ د ثانیو شمېر دی او ډیفالټ یې 3600 دی. هر لوری خپل ارزښت لري، او له دواړو کوچنی هغه دی چې واقعاً تازه کول پیلوي. همدا یوه قاعده ډیرې راپورونه تشرېح کوي: هغه کاروونکی پروفایل چې لویه شمېره ټاکي بیا هم هره ساعته بیا تنظیم کیږي ترڅو چې سرور ډیفالټ ساتي.

grep -Rn --include='*.conf' -E 'reneg-sec|reneg-bytes' /etc/openvpn
# server side, including included files
grep -Rn -E '^reneg-sec' /etc/openvpn/server/

له کاروونکي فایل څخه د پایلې اخیستلو دمخه د سرور نافذ ترتیبات هم، په دې کې هر څه چې هغه پش کوي، ولولئ. بیا د تفصیل کچه پورته کړئ او یوه وقفه له پیل څخه تر پای پورې وګورئ: کچه 3 لا دمخه د بیا خبرو اترو کرښې ښیي، او وخت نښې وایي چې پېښه هر 3600 ثانیو کې تکرار کیږي که فعالیت تعقیبوي.

هغه ځای یې بدل کړئ چې واقعاً پش کیږي

ګرځېدونکی درمل په کاروونکي پروفایل کې یوه کرښه ده، او نږدې نیمایي وخت غلط ځای دی. ځکه د لوري کوچنی ارزښت ګټي، هغه کاروونکی چې ټایمر صفر ته ټاکي بیا هم کولای شي د نه بدل شوي سرور له خوا بیا خبرې اترې ته واړول شي.

# on both ends, or on the side that owns the pushed configuration
reneg-sec 0

چېرې چې پروفایلونه په مرکزي ډول جوړیږي، د ځای پرځای شوې کاپي پرځای ټیمپلیټ سم کړئ, که نه نو بل پروویژن کول به هغه ارزښت بحال کړي چې همدا اوس مو لرې کړ. یوه نه، دوه وقفې وګورئ او تایید یې کړئ: یوه ارامه ساعت د 7200 ته ټاکل شوي ټایمر سره هم سمون لري.

په مخلوط ځای پرځای کولو کې څه پېښیږي هغه هم پرېکړه کړئ. که بدلون لومړی کاروونکو ته ورسوئ، هغه کړکۍ پاتې کیږي چې سرور لا هم تازه کول پیلوي؛ دا بې ضرره دی خو که د تایید لپاره لاګونه ګورئ ګډوډوي. لومړی هغه لوری بدل کړئ چې کوچنی ارزښت لري او نښه به په هماغه نقطه کې ورک شي چې تاسو تمه لرئ.

د بیا خبرو اترو په بندولو سره له څه تېریږئ

منظمه بیا خبرې اترې محدودوي چې د معلوماتو چینل د کیلیو یوه ټولګه څومره وخت ترافیک ساتي. د ټایمر بندول تونل نه ماتوي، او په کورني روټر یا د کوچني دفتر په دروازه کې عملي اغیزه معتدله ده. دا بیا هم یوه تبادله ده، او د هغې کولو دمخه د تبادلې نومول ښه دي. بدلیږي دا چې یوه کیلي ټولګه څومره وخت یوه غونډه ساتي، نه دا چې تونل لږ تر لږه کار کوي که نه.

د بندولو معقول حالت هغه بیا تنظیم دی چې هغه څه ماتوي چې بیا نه شي پیلیدلی: هغه زنګ چې پرې کیږي، هغه لرې ډیسکټاپ غونډه چې بیا جوړول غواړي، هغه بیک اپ چې له سره پیل کیږي. که وقفه کاروونکو ته نه ښکاري، ډیفالټ ساتل هیڅ لګښت نه لري او درکړل شوې کیلي څرخېدنه ساتي.

کله چې بڼه اجازه ورکړي د لامل سمول غوره ګڼئ. هغه تازه کول چې په نیمایي کې ناکام کیږي په داسې حال کې چې لومړنۍ لاس ورکول بریالي شوي و، ټایمر ته نه بلکې لارې ته اشاره کوي: په لوی کنټرول چینل تبادله کې د بنډل اندازې ستونزه، د جریان غورځوونکې حالت لرونکې اور وژونکې دیوال، یا هغه وړاندیز چې یوازې لومړي هڅې کې بریالی کیږي ولټوئ. هر یو یې په هماغه لاګ کې چې همدا اوس ولیدل نښه پریږدي. د ټایمر بندول هغه شواهد پټوي.

کله چې وقفه بل ځای ته اشاره کوي

په ترتیباتو کې دوه ګاونډیان ورته نښې او بېلې حل لارې تولیدوي. کله چې په ټاکل شوې موده کې هېڅ رانشي، ping-restart تونل بیا پیلوي، په داسې حال کې چې ping-exit کاروونکی په بشپړ ډول ښکته کوي. په لاګ کې چېرې هم د بیا خبرو اترو پرته بې کاره قطع د دوی ده، یا د هغه NAT وسیلې چې د UDP نقشه په خپل مهالوېش کې پای ته ورسوله.

د کاروونکو روټرونه، موبایل هټسپاټونه او د کیریر کچې NAT ټول بې کاره UDP غونډې پرته له دې چې چا ته ووایي پای ته رسوي. هغه ناکامي ساعت نه بلکې بې کارۍ تعقیبوي، او همدا نښه ده: هغه غونډه چې له لسو ارامو دقیقو وروسته پرې کیږي او یوه ساعت ثابت ترافیک زغمي، بیا خبرې اترې نه کوي.

له څلورم بدلولو دمخه درې شیان ولیکئ: اندازه شوې وقفه، موندل شوی نافذ ارزښت، او هغه حکم چې دا یې ښود. که ټایمر وخوځیږي وقفه هم وخوځیږي، میکانېزم پیژندل شوی او حل د پورتنیو تبادلو په اړه پرېکړه ده. که ونه خوځیږي، تنظیم بېرته کیږدئ او keepalive، NAT حالت او د بنډل زیان ته ګوري پاتې شئ.