Vračanje predvajanja OpenVPN v dnevniku: česa vrstica ne dokazuje

Vrstica pravi PID_ERR replay-window backtrack occurred, in vsi rezultati iskanja jo razlagajo kot zavržene pakete in pokvarjen tunel. Na poti UDP sistema Community OpenVPN 2.6 se to sporočilo zapiše, medtem ko se sprejemna funkcija še odloča, kaj storiti s paketom. Zabeleži nov največji odmik nazaj, nato ista funkcija primerja razdaljo z oknom in zabeleženim stanjem, preden paket sprejme ali zavrne. Branje oznake dnevnika kot razsodbe je napaka, ki jo želi ta kontrolni seznam preprečiti.

Prvi postanek: prepoznajte, kaj je vrstica

To je diagnostika o razdalji v zaporedju, ne odločitev o povezavi. Pojavi se v izvedbi ID paketa na točki, kjer se zabeleži novo opaženi največji odmik nazaj. Ta točka je pred vejo za sprejetje ali zavrnitev, zato je paket, ki jo sproži, lahko še vedno dostavljen.

Potrdite, kateri gostitelj jo je zapisal in s kakšno podrobnostjo. Strežnik in odjemalec lahko oba pošiljata sporočila ID paketa, in sporočilo z ene strani ne pove ničesar o stanju sprejema na drugi.

Drugi postanek: poiščite izid za ta paket

Berite vrstice po diagnostiki, ne le diagnostike. Ista funkcija nadaljuje k preverjanjem okna in dvojnikov, zato se izid za ta konkreten paket odloči nekaj ukazov pozneje in je lahko tudi sprejetje. Izsek iz dnevnika, ki se konča na strašljivi vrstici, ne pove ničesar o izidu. Iščite okno okoli nje, ne vrstice same:

journalctl -u openvpn-server@server --since "-10 min" | grep -n -A3 -B3 "backtrack occurred"

Če dnevnik takrat ne pokaže nobene zavrnitve za tega partnerja, prenehajte to vrstico obravnavati kot vzrok izpada. Pojdite na pot aplikacije, saj se tam v resnici konča večina poročil o povezano, a brez prometa.

Tretji postanek: odločite, ali je prerazvrščanje resnično

Prerazvrščanje je lastnost poti, in ena diagnostika je le en njen vzorec. Iščite ponavljajoča se sporočila za istega partnerja v kratkem oknu in jih primerjajte s posnetkom na obeh koncih, preden sklepate, da omrežje agresivno prerazvršča.

Nekaj sporočil med ponovno povezavo ni nič posebnega. Neprekinjen tok ob resničnih časovnih omejitvah aplikacije je vreden preiskave, in ta kombinacija je dokaz, ne oznaka.

Četrti postanek: parametri okna in kaj niso

replay-window sprejme velikost zaporedja in neobvezno časovno vrednost, zato razširitev spremeni dve različni toleranci hkrati. Povečanje števila dovoli pakete, ki so dlje izven reda; časovna vrednost omejuje, kako dolgo se paket še lahko upošteva. Razširitev je sprememba politike s stroškom za varnost in ne krepi šifre niti ne izklopi zaznavanja dvojnikov. Obe toleranci se premikata skupaj, ne glede na to, ali ste to nameravali ali ne.

Star overjen paket je lahko še vedno neželeno ponavljanje, zato sprejemnik ohrani ta preverjanja. Sprejeti več prerazvrščanja pomeni sprejeti več tega tveganja.

Utišanje opozorila z mute spremeni, kar vidite, ne tega, kar počne demon. Če je cilj tišji dnevnik med znanim dogodkom, je to legitimna operativna izbira; če je cilj popraviti tunel, utišanje skrije dokaz.

mute 20
replay-window 64 15

Preklop zunanjega prenosa na TCP spremeni vedenje dostave in obnovitve ter doda lastne stroške blokiranja glave čakalne vrste. To je oblikovalska odločitev, ne prvi odziv na eno oznako dnevnika. Ponovna namestitev strežnika je slabša, ker izbriše razliko med statistiko in mejo, ki je dejansko odpovedala.

Peti postanek: preizkusite pot, ki je pomembna za uporabnika

S povezanim tunelom zaženite lastni test aplikacije in preberite njeno izbrano pot, stanje posredovanja in povratno pot. Tunel, ki prenaša pakete le v eno smer, sploh ne ustvari sporočil o vračanju, in to je veliko pogostejše od hudega prerazvrščanja.

Zapišite, kaj ste izmerili na vsakem postanku. Prav zapis prepreči, da bi se naslednje poročilo spet začelo pri strašljivi vrstici in delalo od tam navzven.

Izvedba ID paketa kaže vrstni red statistike in odločitve, priročnik pa opisuje obseg zaporedja in časa okna. Branje obeh skupaj je tisto, kar spremeni strašljivo vrstico dnevnika v znano količino. Nobeno od njiju ne pove ničesar o vaši konkretni poti, zato so zgornje meritve še vedno pomembne.