Ndërprerja për orë e OpenVPN: rinegocim apo rilidhje e vërtetë?

Gjashtëdhjetë minuta, ose tridhjetë, ose njëqind e njëzet: një ndërprerje që bie në një interval të rrumbullakët pothuajse kurrë nuk është rrjeti. OpenVPN rinovon sipas një kohëmatësi materialin e çelësave që mbron kanalin e të dhënave, dhe një kohëmatës më i shkurtër se ai që supozuat duket saktësisht si një lidhje që dështon vazhdimisht. Përdoruesit raportojnë një lidhje të prishur ndërsa regjistri raporton një shkëmbim çelësash të suksesshëm. Udhëzuesi më poshtë e ndan atë rinovim nga një rinisje e vërtetë, lexon vlerën që është në fuqi në të vërtetë dhe e ndryshon atë vetëm pasi kostoja është mbi tavolinë.

Ndjekini hapat me radhë, sepse i pari vendos nëse pjesa tjetër e faqes ju prek fare. Nëse kaloni përpara, do të kaloni një mbrëmje duke rregulluar një kohëmatës për një defekt që nuk ka asnjë lidhje me të.

Bëni dallimin midis një rinisjeje të butë dhe një rinisjeje

Rreshti i regjistrit është e gjithë diagnoza. Një rinegocim shkruan një rinisje të butë dhe më pas një shkëmbim të ri çelësash brenda të njëjtit tunel: ndërfaqja ruan adresën e saj, rrugët nuk shtohen përsëri, dhe sesionet TCP të vendosura zakonisht mbijetojnë me një pauzë. Një rinisje e vërtetë e shqyen sesionin, rindërton ndërfaqen, mund të japë një adresë tjetër klienti dhe vret çdo lidhje afatgjatë. Të dyja ngjarjet janë të zakonshme; vetëm njëra prej tyre shpjegon një telefonatë të ndërprerë.

journalctl -u openvpn-client@office -b --no-pager | grep -nE 'soft reset|Connection reset|reneg|TLS Error'
openvpn --version | head -n 1

Rreshti i versionit ka rëndësi sepse formulimi i regjistrit ndryshon midis versioneve, dhe një mesazh që ju kujtohet nga 2.3 mund të jetë formuluar ndryshe në 2.6. Lexoni regjistrin tuaj, jo një fragment forumi të dikujt tjetër. Citoni rreshtin e saktë kur kërkoni ndihmë, sepse një parafrazë humb detajin që identifikon ngjarjen. Nëse adresa e ndërfaqes nuk ndryshon gjatë ngjarjes dhe lista e sesioneve mbijeton, po shihni një rinovim dhe seksionet e mbetura zbatohen.

Lexoni kohëmatësin efektiv, jo skedarin tuaj

reneg-sec është numri i sekondave midis rinegocimeve të kanalit të të dhënave dhe vlera e tij e paracaktuar është 3600. Secila palë mbart vlerën e vet, dhe më e vogla e të dyjave është ajo që në të vërtetë nxit rinovimin. Ky rregull i vetëm shpjegon shumicën e raporteve: një profil klienti që vendos një numër të madh prapë riniset çdo orë ndërsa serveri mban vlerën e paracaktuar.

grep -Rn --include='*.conf' -E 'reneg-sec|reneg-bytes' /etc/openvpn
# server side, including included files
grep -Rn -E '^reneg-sec' /etc/openvpn/server/

Lexoni edhe konfigurimin efektiv të serverit, duke përfshirë gjithçka që ai shtyn, përpara se të nxirrni një përfundim nga skedari i klientit. Pastaj rritni nivelin e detajeve dhe vëzhgoni një interval nga fillimi në fund: niveli 3 tashmë tregon rreshtat e rinegocimit, dhe vulat kohore thonë nëse ngjarja përsëritet çdo 3600 sekonda ose ndjek aktivitetin.

Ndryshojeni atje ku shtyhet vërtet

Kura që qarkullon është një rresht i vetëm në profilin e klientit, dhe është vendi i gabuar rreth gjysmën e kohës. Meqenëse fiton vlera më e ulët e palës, një klient që e vendos kohëmatësin në zero mund të rinegociohet prapë nga një server që nuk ndryshoi.

# on both ends, or on the side that owns the pushed configuration
reneg-sec 0

Kur profilet gjenerohen në mënyrë qendrore, redaktoni shabllonin dhe jo kopjen e vendosur, përndryshe ekzekutimi i ardhshëm i furnizimit do të rikthejë vlerën që sapo hoqët. Verifikoni duke vëzhguar dy intervale, jo një: një orë e qetë përputhet edhe me një kohëmatës të vendosur në 7200.

Vendosni gjithashtu çfarë ndodh në një vendosje të përzier. Nëse ndryshimin e shpërndani fillimisht te klientët, mbetet një dritare ku serveri ende nxit rinovimin; është e padëmshme por ngatërruese nëse po shikoni regjistrat për konfirmim. Ndryshoni fillimisht anën që mban vlerën më të vogël dhe simptoma zhduket në pikën që prisni.

Çfarë hiqni dorë duke çaktivizuar rinegocimin

Rinegocimi i rregullt kufizon sa gjatë një grup i vetëm çelësash i kanalit të të dhënave mbron trafikun. Fikja e kohëmatësit nuk e thyen tunelin, dhe në një router shtëpiak ose një portë zyre të vogël ekspozimi praktik është i matur. Është gjithsesi një shkëmbim, dhe shkëmbimi meriton të përmendet përpara se ta bëni. Ajo që ndryshon është sa gjatë një grup çelësash mbron një sesion, jo nëse tuneli funksionon fare.

Rasti i arsyeshëm për çaktivizim është një rinisje që thyen diçka që nuk mund të rifillohet: një telefonatë që bie, një sesion desktopi në distancë që duhet rivendosur, një kopje sigurie që nis nga fillimi. Nëse pauza është e padukshme për përdoruesit, mbajtja e vlerës së paracaktuar nuk kushton asgjë dhe ju ruan rrotullimin e çelësave.

Preferoni të rregulloni shkakun kur modeli e lejon. Një rinovim që dështon në gjysmë të rrugës ndërsa shtrëngimi i parë i duarve pati sukses tregon rrugën dhe jo kohëmatësin: kërkoni një problem të madhësisë së paketës në shkëmbimin më të madh të kanalit të kontrollit, një mur zjarri me gjendje që e hedh rrjedhën, ose një propozim që ka sukses vetëm në provën e parë. Secili prej tyre lë një gjurmë në të njëjtin regjistër që sapo lexuat. Fikja e kohëmatësit e fsheh atë provë.

Kur intervali tregon diku tjetër

Dy fqinj në konfigurim prodhojnë simptoma të ngjashme dhe rregullime të ndryshme. ping-restart rinis tunelin kur nuk mbërrin asgjë për një periudhë të caktuar, ndërsa ping-exit e ul klientin plotësisht. Një ndërprerje në heshtje pa asnjë rinegocim kudo në regjistër u përket këtyre, ose një pajisjeje NAT që e la mapimin UDP të skadojë sipas orarit të vet.

Routerët e konsumatorit, hotspot-et mobile dhe NAT-i i nivelit të operatorit i lënë të gjithë sesionet UDP në heshtje të skadojnë pa i thënë askujt. Ai dështim ndjek heshtjen dhe jo orën, dhe ky është shenja: një sesion që bie pas dhjetë minutash të qeta dhe mbijeton një orë trafiku të qëndrueshëm nuk po rinegocon.

Shkruani tre gjëra përpara se të ndryshoni të katërtën: intervalin që matët, vlerën efektive që gjetët dhe komandën që e tregoi. Nëse intervali lëviz kur lëviz kohëmatësi, mekanizmi është identifikuar dhe rregullimi është një vendim për shkëmbimin më sipër. Nëse nuk lëviz, kthejeni cilësimin dhe vazhdoni të shikoni keepalive, gjendjen e NAT dhe humbjen e paketave.