Kukatika kwa OpenVPN kila saa: mazungumzo mapya au muunganisho halisi upya?

Dakika sitini, au thelathini, au mia moja na ishirini: kukatika kunakotokea kwa muda duara mara nyingi si mtandao. OpenVPN huonyesha upya kwa kipima muda nyenzo za funguo zinazolinda kituo cha data, na kipima muda kifupi kuliko ulichodhani kinaonekana kama kiungo kinachoshindikana kila mara. Watumiaji wanaripoti muunganisho uliovunjika wakati kumbukumbu inaripoti ubadilishanaji wa funguo uliofanikiwa. Mwongozo hapa chini hutenganisha uhuishaji huo na uanzishaji upya halisi, husoma thamani inayotumika kweli, na kuibadilisha tu baada ya gharama kuwekwa mezani.

Fanya hatua kwa mpangilio, kwa sababu ya kwanza huamua kama sehemu iliyobaki ya ukurasa inakuhusu hata kidogo. Ukiruka mbele, utatumia jioni moja kurekebisha kipima muda kwa hitilafu isiyo na uhusiano nayo.

Tofautisha uanzishaji upya laini na uanzishaji upya

Mstari wa kumbukumbu ndio utambuzi wote. Mazungumzo mapya huandika uanzishaji upya laini kisha ubadilishanaji mpya wa funguo ndani ya handaki hilo hilo: kiolesura huhifadhi anwani yake, njia haziongezwi tena, na vikao vya TCP vilivyoanzishwa kwa kawaida huishi kwa pause. Uanzishaji upya halisi huvunja kikao, hujenga upya kiolesura, huenda ukatoa anwani nyingine ya mteja, na huua kila muunganisho wa muda mrefu. Matukio yote mawili ni ya kawaida; ni moja tu yanayoeleza simu iliyokatika.

journalctl -u openvpn-client@office -b --no-pager | grep -nE 'soft reset|Connection reset|reneg|TLS Error'
openvpn --version | head -n 1

Mstari wa toleo ni muhimu kwa sababu maneno ya kumbukumbu hubadilika kati ya matoleo, na ujumbe unaoukumbuka kutoka 2.3 unaweza kuwa umeandikwa tofauti katika 2.6. Soma kumbukumbu yako mwenyewe badala ya kipande cha jukwaa la mtu mwingine. Nukuu mstari halisi unapoomba msaada, kwa sababu kufasiri upya hupoteza maelezo yanayotambua tukio. Ikiwa anwani ya kiolesura haijabadilika wakati wa tukio na orodha ya vikao inaendelea kuishi, unaona uhuishaji na sehemu zilizobaki zinatumika.

Soma kipima muda kinachotumika, si faili yako

reneg-sec ni idadi ya sekunde kati ya mazungumzo mapya ya kituo cha data na thamani yake ya chaguo-msingi ni 3600. Kila upande hubeba thamani yake, na ndogo kati ya mbili ndiyo inayoanzisha uhuishaji kweli. Kanuni hiyo moja inaeleza ripoti nyingi: wasifu wa mteja unaoweka nambari kubwa bado huwekwa upya kila saa wakati seva inahifadhi thamani ya chaguo-msingi.

grep -Rn --include='*.conf' -E 'reneg-sec|reneg-bytes' /etc/openvpn
# server side, including included files
grep -Rn -E '^reneg-sec' /etc/openvpn/server/

Soma pia usanidi unaotumika wa seva, ikiwa ni pamoja na kila kitu inachosukuma, kabla ya kuhitimisha kutoka faili ya mteja. Kisha ongeza maelezo na uangalie muda mmoja kutoka mwanzo hadi mwisho: ngazi 3 tayari inaonyesha mistari ya mazungumzo mapya, na alama za muda zinasema kama tukio hujirudia kila sekunde 3600 au hufuata shughuli badala yake.

Ibadilishe mahali inaposukumwa kweli

Dawa inayozunguka ni mstari mmoja katika wasifu wa mteja, na ni mahali pabaya karibu nusu ya muda. Kwa kuwa thamani ndogo ya upande ndiyo hushinda, mteja anayeweka kipima muda kuwa sifuri bado anaweza kufanyiwa mazungumzo mapya na seva ambayo haikubadilika.

# on both ends, or on the side that owns the pushed configuration
reneg-sec 0

Ambapo wasifu hutengenezwa kwa njia ya kati, hariri kiolezo badala ya nakala iliyotumwa, vinginevyo uendeshaji ujao wa ugavi utarudisha thamani uliyoiondoa hivi punde. Thibitisha kwa kuangalia vipindi viwili, si kimoja: saa moja tulivu inaendana pia na kipima muda kilichowekwa 7200.

Amua pia kinachotokea katika usambazaji mchanganyiko. Ukisambaza mabadiliko kwa wateja kwanza, dirisha la muda linabaki ambapo seva bado inaanzisha uhuishaji; hilo halina madhara lakini linachanganya ikiwa unaangalia kumbukumbu kwa uthibitisho. Badilisha kwanza upande wenye thamani ndogo na dalili itatoweka mahali unapotarajia.

Unachojitoa kwa kuzima mazungumzo mapya

Mazungumzo mapya ya kawaida hupunguza muda ambao seti moja ya funguo za kituo cha data hulinda trafiki. Kuzima kipima muda hakuvunji handaki, na kwenye rauta ya nyumbani au lango la ofisi ndogo mfiduo wa kivitendo ni wa kiasi. Bado ni ubadilishanaji, na ubadilishanaji unafaa kutajwa kabla ya kuufanya. Kinachobadilika ni muda ambao seti moja ya funguo hulinda kikao, si kama handaki linafanya kazi kabisa.

Sababu inayofaa ya kuzima ni uanzishaji upya unaovunja kitu kisichoweza kuendelea: simu inayokatika, kikao cha eneo-kazi la mbali kinachopaswa kuanzishwa upya, nakala rudufu inayoanza mwanzo. Ikiwa pause haionekani kwa watumiaji, kuacha thamani ya chaguo-msingi hakugharimu chochote na huhifadhi mzunguko wa funguo uliyopewa.

Pendelea kurekebisha sababu wakati muundo unaruhusu. Uhuishaji unaoshindikana katikati wakati mkururo wa kwanza wa mikono ulifanikiwa unaonyesha njia badala ya kipima muda: tafuta tatizo la ukubwa wa pakiti katika ubadilishanaji mkubwa wa kituo cha udhibiti, ngome ya moto yenye hali inayotupa mtiririko, au pendekezo linalofanikiwa tu kwenye jaribio la kwanza. Kila moja huacha alama katika kumbukumbu hiyo hiyo uliyosoma hivi punde. Kuzima kipima muda huficha ushahidi huo.

Wakati muda unaonyesha mahali pengine

Majirani wawili katika usanidi huzalisha dalili zinazofanana na marekebisho tofauti. ping-restart huanzisha upya handaki wakati hakuna kinachofika kwa kipindi kilichowekwa, wakati ping-exit humshusha mteja kabisa. Kukatika kwa uvivu bila mazungumzo mapya mahali popote kwenye kumbukumbu ni mali ya haya, au ya kifaa cha NAT kilichoruhusu ramani ya UDP kuisha kwa ratiba yake yenyewe.

Rauta za watumiaji, maeneo ya moto ya simu na NAT ya kiwango cha mtoa huduma wote huruhusu vikao vya UDP visivyotumika kuisha bila kumwambia mtu yeyote. Hitilafu hiyo hufuata uvivu badala ya saa, na hicho ndicho kidokezo: kikao kinachokatika baada ya dakika kumi tulivu na kuishi saa moja ya trafiki thabiti hakifanyi mazungumzo mapya.

Andika mambo matatu kabla ya kubadilisha ya nne: muda uliopima, thamani inayotumika uliyoipata, na amri iliyoionyesha. Ikiwa muda unahama wakati kipima muda kinahama, utaratibu umetambuliwa na marekebisho ni uamuzi kuhusu ubadilishanaji ulio juu. Ikiwa hauhama, rudisha mpangilio na uendelee kuangalia keepalive, hali ya NAT na upotevu wa pakiti.