Spätné sledovanie prehrávania OpenVPN v zázname: čo riadok nedokazuje

Riadok hovorí PID_ERR replay-window backtrack occurred a všetky výsledky hľadania to vysvetľujú ako zahodené pakety a pokazený tunel. V ceste UDP Community OpenVPN 2.6 sa táto správa zapisuje, zatiaľ čo prijímacia funkcia ešte rozhoduje, čo s paketom urobiť. Zaznamená nové maximum spätného sledovania, potom tá istá funkcia porovná vzdialenosť s oknom a zaznamenaným stavom, než paket prijme alebo odmietne. Čítať štítok zo záznamu ako rozsudok je chyba, ktorej má táto kontrolná listina zabrániť.

Prvá zastávka: určte, čo riadok je

Je to diagnostika vzdialenosti v postupnosti, nie rozhodnutie o spojení. Objavuje sa v implementácii ID paketu v mieste, kde sa zaznamenáva novo pozorované maximum spätného sledovania. Toto miesto leží pred vetvou prijatia alebo odmietnutia, a preto paket, ktorý ho vyvolá, môže byť stále doručený.

Overte, ktorý hostiteľ ho zapísal a s akou podrobnosťou. Server aj klient môžu vydávať správy ID paketu a správa z jednej strany nič nehovorí o stave prijímania na strane druhej.

Druhá zastávka: nájdite výsledok pre ten paket

Čítajte riadky za diagnostikou, nie len diagnostiku. Tá istá funkcia pokračuje ku kontrolám okna a duplikátov, takže výsledok pre ten konkrétny paket sa rozhodne o niekoľko inštrukcií neskôr a môže pokojne ísť o prijatie. Výňatok zo záznamu, ktorý sa končí na desivom riadku, vám o výsledku nič nepovie. Hľadajte okno okolo neho, nie samotný riadok:

journalctl -u openvpn-server@server --since "-10 min" | grep -n -A3 -B3 "backtrack occurred"

Ak záznam v tom čase neukazuje pre toho partnera žiadne odmietnutie, prestaňte tento riadok považovať za príčinu výpadku. Prejdite na cestu aplikácie, pretože tam väčšina hlásení pripojené, ale bez prevádzky vlastne končí.

Tretia zastávka: rozhodnite, či je preusporiadanie skutočné

Preusporiadanie je vlastnosť cesty a jedna diagnostika je len jedna jeho vzorka. Hľadajte opakované správy pre toho istého partnera v krátkom okne a porovnajte ich so zachytením na oboch koncoch, než usúdite, že sieť agresívne preusporadúva.

Niekoľko správ počas opätovného pripojenia nie je nič zvláštne. Súvislý tok vedľa skutočných časových limitov aplikácie stojí za vyšetrenie a tá kombinácia je dôkaz, nie označenie.

Štvrtá zastávka: parametre okna a čo nie sú

replay-window berie veľkosť postupnosti a voliteľnú časovú hodnotu, takže rozšírenie mení dve rôzne tolerancie naraz. Zvýšenie čísla pripúšťa pakety, ktoré sú ďalej mimo poradia; časová hodnota obmedzuje, ako dlho možno paket ešte uvažovať. Rozšírenie je zmena politiky s cenou za bezpečnosť a neposilňuje šifru ani nevypína detekciu duplikátov. Obe tolerancie sa pohybujú spolu, či ste to zamýšľali alebo nie.

Starý overený paket môže byť stále nežiaduce opakovanie, a preto prijímač drží tieto kontroly. Prijať viac preusporiadania znamená prijať viac tohto rizika.

Stíšenie upozornenia pomocou mute mení to, čo vidíte, nie to, čo démon robí. Ak je cieľom tichší záznam počas známej udalosti, je to legitímna prevádzková voľba; ak je cieľom opraviť tunel, stíšenie skrýva dôkaz.

mute 20
replay-window 64 15

Prechod vonkajšej prepravy na TCP mení správanie doručovania a obnovy a pridáva vlastné náklady na blokovanie čela frontu. Je to dizajnové rozhodnutie, nie prvá reakcia na jeden štítok zo záznamu. Preinštalovanie servera je horšie, pretože zmaže rozdiel medzi štatistikou a hranicou, ktorá skutočne zlyhala.

Piata zastávka: otestujte cestu, na ktorej používateľovi záleží

S pripojeným tunelom spustite vlastný test aplikácie a prečítajte si jej zvolenú trasu, stav preposielania a spiatočnú cestu. Tunel, ktorý prenáša pakety len jedným smerom, nevytvára vôbec žiadne správy o spätnom sledovaní, a to je oveľa bežnejšie ako silné preusporiadanie.

Zapíšte, čo ste na každej zastávke zmerali. Práve záznam bráni tomu, aby ďalšie hlásenie začalo znova na desivom riadku a pracovalo odtiaľ von.

Implementácia ID paketu ukazuje poradie štatistiky a rozhodnutia a manuál opisuje rozsah postupnosti a času okna. Čítanie oboch spolu je to, čo mení desivý riadok záznamu na známu veličinu. Ani jedno z nich nič nehovorí o vašej konkrétnej ceste, a preto vyššie uvedené merania stále majú význam.