Joojinta OpenVPN ee saacad kasta: gorgortan cusub mise isku xirnaan dhab ah?

Lixdan daqiiqadood, ama soddon, ama boqol iyo labaatan: joojin ku dhacda bareegga wareegsan marnaba ma aha shabakadda. OpenVPN waxay ku cusboonaysiisaa timer-ka maaddada fureed ee ilaaliso kanaalka xogta, iyo timer ka gaaban kii aad u qaadatay inuu yahay wuxuu u eg yahay xiriir si joogto ah u guuldareysta. Isticmaalayaashu waxay soo sheegaan xiriir go'an halka log-ku soo sheegayo is-dhaafsiga fureed oo guulaystay. Hagaha hoose wuxuu kala soocaa cusboonaysiintaas iyo dib u bilaabid dhab ah, wuxuu akhriyaa qiimaha dhab ahaan dhaqan galay, oo wuxuu beddelaa kaliya marka kharashka miiska saaran yahay.

Tallaabooyinka si taxane ah u samee, waayo tan koowaad ayaa go'aamisa haddii bogga intiisa kale kuugu habboon yahay gabi ahaan. Haddii aad horay u boodo, waxaad habeen ku qaadan doontaa hagaajinta timer cillad aan wax xiriir ah la lahayn.

Kala sooc dib u dhigis jilicsan iyo dib u bilaabid

Sadarka log-ku waa dhammaan ogaanshaha. Gorgortan cusub wuxuu qoraa dib u dhigis jilicsan ka dibna is-dhaafsi fure cusub isla tunnel-ka dhexdiisa: interface-ku wuxuu hayaa cinwaankiisa, waddooyinka dib looma daro, iyo fadhiyada TCP ee la aasaasay badanaa way sii noolaadaan hakad. Dib u bilaabid dhab ah ayaa jeexjeexa fadhiga, dib u dhisaa interface-ka, laga yaabee inuu bixiyo cinwaan macmiil oo kale, oo dilo xiriir kasta oo muddo dheer socday. Labada dhacdo waa caadi; midkood oo kaliya ayaa sharraxaya wicitaan go'an.

journalctl -u openvpn-client@office -b --no-pager | grep -nE 'soft reset|Connection reset|reneg|TLS Error'
openvpn --version | head -n 1

Sadarka nooca waa muhiim sababtoo ah ereyada log-ku way is beddelaan noocyada dhexdooda, iyo fariin aad ka xasuusato 2.3 waxaa laga yaabaa in 2.6 si kale loo qoray. Akhri log-kaaga, ma aha qayb shirka qof kale. Markaad caawimaad codsato soo xigasho sadarka saxda ah, sababtoo ah dib-u-sheegid waxay lumisaa faahfaahinta aqoonsata dhacdada. Haddii cinwaanka interface-ka uusan is beddelin inta dhacdadu socoto oo liiska fadhiyada uu sii noolaado, waxaad aragtaa cusboonaysiin oo qaybaha kale way khuseeyaan.

Akhri timer-ka dhaqan galay, ma aha faylkaaga

reneg-sec waa tirada ilbiriqsiyada u dhexeeya gorgortanka cusub ee kanaalka xogta iyo qiimihiisa caadiga ah waa 3600. Qolo kastaa waxay qaadataa qiimaheeda, iyo kan yar ee labada ayaa dhab ahaan kiciya cusboonaysiinta. Hal qaanuunkaas ayaa sharraxa warbixinnada badankood: profile macmiil oo dhigta tiro weyn ayaa weli dib loo dhigaa saacad kasta inta server-ku hayo qiimaha caadiga ah.

grep -Rn --include='*.conf' -E 'reneg-sec|reneg-bytes' /etc/openvpn
# server side, including included files
grep -Rn -E '^reneg-sec' /etc/openvpn/server/

Sidoo kale akhri qaabeynta dhaqan galka ah ee server-ka, oo ay ku jiraan wax kasta oo uu riixo, ka hor intaadan ka soo gabagabeyn faylka macmiilka. Kadib kordhi faahfaahinta oo daawasho hal bareeg bilow ilaa dhammaad: heerka 3 horey ayaa u muujiya sadarrada gorgortanka cusub, iyo calaamadaha waqtigu waxay sheegaan haddii dhacdadu ku soo noqoto 3600 ilbiriqsi kasta ama raacdo dhaqdhaqaaqa.

Ku beddel meesha dhab ahaan loo riixo

Daawada wareegta waa hal sadar profile-ka macmiilka, oo qiyaastii badhka waqtiga waa meesha khaldan. Maadaama qiimaha hoose ee dhinacu guuleysto, macmiil timer-ka dhigta eber ayaa weli laga yaabaa inuu gorgortan cusub la sameeyo server aan is beddelin.

# on both ends, or on the side that owns the pushed configuration
reneg-sec 0

Meesha profile-yada si dhexe loo abuurayo, tifatir template-ka ma aha nuqulka la geeyay, haddii kale socodka sahayda xiga wuxuu soo celin doonaa qiimaha aad hadda ka saartay. Xaqiiji adigoo daawanaya laba bareeg, ma aha mid: hal saac oo xasilloon ayaa sidoo kale waafaqsan timer lagu dhigay 7200.

Sidoo kale go'aan ka gaar waxa dhaca marka la isku daro geynta. Haddii beddelka marka hore loo gudbiyo macmiillada, waxaa haray daaqad uu server-ku weli kiciyo cusboonaysiinta; waa wax aan waxyeello lahayn laakiin wuu wareera haddii aad log-yada u daawato xaqiijin. Marka hore beddel dhinaca haysta qiimaha yar oo calaamaddu waxay ku lumi doontaa isla barta aad filayso.

Waxaad ka tanaasusho markaad damiso gorgortanka cusub

Gorgortan cusub oo joogto ah ayaa xaddida inta ay hal koox fureed oo kanaalka xogta ah ilaalinayso taraafikada. Daminta timer-ka ma jebiso tunnel-ka, oo router guri ama irrid xafiis yar dhexdeeda soo-gaadhista la taaban karo waa mid dhexdhexaad ah. Weli waa isweydaarsi, oo isweydaarsiga waa in la magacaabaa ka hor intaadan samayn. Waxa is beddela waa inta ay hal koox fureed ilaalinayso fadhi, ma aha haddii tunnel-ku gabi ahaan shaqeeyo.

Sababta macquulka ah ee daminta waa dib u dhigis jebiya wax aan sii socon karin: wicitaan go'a, fadhi desktop fog oo dib loo aasaasay, kayd dib u bilaabma bilowga. Haddii hakadku uusan istiicmaalayaasha ka muuqan, haynta qiimaha caadiga ah waxba kuma kacdo oo waxay kuu haynaysaa wareegga fureed ee la siiyay.

Dooro inaad hagaajiso sababta marka qaabku ogolaado. Cusboonaysiin ku guuldareysta badhtamaha halka gacan-qaadistii ugu horreysay guulaystay waxay tilmaamaysaa waddada ma aha timer-ka: raadi dhibaato cabbir baakidh oo ku jirta is-dhaafsiga kanaalka kontoroolka oo weyn, dab-damis xaaladeed oo tuuraya qulqulka, ama soo-jeedin kaliya isku dayga koowaad ku guulaysata. Mid kasta wuxuu raad ku reebaa isla log-kaad hadda akhriday. Daminta timer-ka waxay qarinaysaa caddayntaas.

Marka bareeggu meel kale tilmaamo

Laba deris oo ku jira qaabeynta waxay soo saaraan calaamado isku mid ah iyo hagaajinno kala duwan. Marka muddo la dhigay waxba soo gaarin ping-restart wuxuu dib u bilaabaa tunnel-ka, halka ping-exit si buuxda hoos u dhigayo macmiilka. Joojin fadhi-go'an oo aan gorgortan cusub ku jirin log-ka meel kasta waxay ka tirsan tahay kuwaan, ama qalab NAT oo u oggolaaday khariidadda UDP inay dhacdo jadwalkiisa.

Router-yada macaamiisha, hotspot-yada mobile-ka iyo NAT heerka shirkadda isgaarsiinta waxay dhamaan u oggolaadaan fadhiyada UDP ee fadhiya inay dhacaan iyagoo aan cidna u sheegin. Guuldadaas waxay raacdaa fadhiidnimo ma aha saacadda, oo taas waa calaamadda: fadhi dhaca toban daqiiqo oo aamusan kadib oo ka badbaada saac taraafik joogto ah ma gorgortamo cusub.

Qor saddex waxyaabood ka hor intaadan beddelin mid afraad: bareegga aad cabbirtay, qiimaha dhaqan galka ah ee aad heshay, iyo amarka muujiyay. Haddii bareeggu dhaqaaqo marka timer-ku dhaqaaqo, habka waa la aqoonsaday oo hagaajintu waa go'aan ku saabsan isweydaarsiga kore. Haddii uusan dhaqaaqin, dib u celi dejinta oo sii daawasho keepalive, xaaladda NAT iyo luminta baakidhka.