மணிநேர OpenVPN வெட்டு: மறுபேச்சு அல்லது உண்மையான மறுஇணைப்பு?

அறுபது நிமிடங்கள், அல்லது முப்பது, அல்லது நூற்று இருபது: வட்ட இடைவெளியில் விழும் வெட்டு கிட்டத்தட்ட ஒருபோதும் வலையமைப்பு அல்ல. OpenVPN டைமரின்படி தரவு சேனலைப் பாதுகாக்கும் விசைப் பொருளைப் புதுப்பிக்கிறது, மேலும் நீங்கள் கருதியதை விடக் குறுகிய டைமர் தொடர்ந்து தோல்வியடையும் இணைப்பைப் போலவே தெரிகிறது. பயனர்கள் அறுந்த இணைப்பைத் தெரிவிக்கின்றனர், அதே நேரம் பதிவு வெற்றிகரமான விசைப் பரிமாற்றத்தைத் தெரிவிக்கிறது. கீழேயுள்ள வழிகாட்டி அந்தப் புதுப்பிப்பை உண்மையான மறுதொடக்கத்திலிருந்து பிரிக்கிறது, உண்மையில் அமலில் உள்ள மதிப்பைப் படிக்கிறது, மேலும் செலவு மேசையில் வந்த பிறகே அதை மாற்றுகிறது.

படிகளை வரிசையாகச் செய்யுங்கள், ஏனெனில் முதல் படி பக்கத்தின் மீதமுள்ள பகுதி உங்களுக்குப் பொருந்துமா என்பதைத் தீர்மானிக்கிறது. முன்னே தாவினால், அதற்குத் தொடர்பில்லாத குறைபாட்டிற்காக டைமரைச் சரிசெய்து ஒரு மாலை கழிப்பீர்கள்.

மென்மையான மீட்டமைப்பை மறுதொடக்கத்திலிருந்து வேறுபடுத்துங்கள்

பதிவு வரியே முழு நோயறிதல். மறுபேச்சு ஒரு மென்மையான மீட்டமைப்பை எழுதி, பின்னர் அதே சுரங்கப்பாதைக்குள் புதிய விசைப் பரிமாற்றம்: இடைமுகம் அதன் முகவரியைத் தக்கவைத்துக்கொள்கிறது, வழிகள் மீண்டும் சேர்க்கப்படுவதில்லை, நிறுவப்பட்ட TCP அமர்வுகள் பொதுவாக இடைவெளியுடன் தப்பிப்பிழைக்கின்றன. உண்மையான மறுதொடக்கம் அமர்வைக் கிழிக்கிறது, இடைமுகத்தை மீண்டும் கட்டமைக்கிறது, வேறு வாடிக்கையாளர் முகவரியை வழங்கக்கூடும், ஒவ்வொரு நீண்டகால இணைப்பையும் கொல்லும். இரண்டு நிகழ்வுகளும் சாதாரணமானவை; அவற்றில் ஒன்று மட்டுமே துண்டிக்கப்பட்ட அழைப்பை விளக்குகிறது.

journalctl -u openvpn-client@office -b --no-pager | grep -nE 'soft reset|Connection reset|reneg|TLS Error'
openvpn --version | head -n 1

பதிப்பு வரி முக்கியம், ஏனெனில் பதிவின் சொற்கள் பதிப்புகளுக்கிடையே மாறுகின்றன, மேலும் 2.3 இலிருந்து நினைவில் இருக்கும் செய்தி 2.6 இல் வேறு விதமாக எழுதப்பட்டிருக்கலாம். மற்றொருவரின் மன்றப் பகுதியை அல்ல, உங்கள் சொந்தப் பதிவைப் படியுங்கள். உதவி கேட்கும்போது அதே சரியான வரியை மேற்கோள் காட்டுங்கள், ஏனெனில் மறுவடிவம் நிகழ்வை அடையாளம் காட்டும் விவரத்தை இழக்கிறது. நிகழ்வின் முழுவதும் இடைமுக முகவரி மாறவில்லை என்றால், அமர்வுப் பட்டியல் தப்பிப்பிழைத்தால், நீங்கள் புதுப்பிப்பைப் பார்க்கிறீர்கள், மீதமுள்ள பகுதிகள் பொருந்தும்.

அமலில் உள்ள டைமரைப் படியுங்கள், உங்கள் கோப்பை அல்ல

reneg-sec என்பது தரவு சேனலின் மறுபேச்சுகளுக்கு இடையிலான வினாடிகளின் எண்ணிக்கை, அதன் இயல்புநிலை 3600. ஒவ்வொரு பக்கமும் அதன் சொந்த மதிப்பைச் சுமக்கிறது, இரண்டில் சிறியதே புதுப்பிப்பை உண்மையில் தூண்டுகிறது. அந்த ஒரு விதி பெரும்பாலான அறிக்கைகளை விளக்குகிறது: பெரிய எண்ணை அமைக்கும் வாடிக்கையாளர் சுயவிவரமும் சேவையகம் இயல்புநிலையை வைத்திருக்கும் வரை மணிநேரத்திற்கு ஒருமுறை மீட்டமைக்கப்படுகிறது.

grep -Rn --include='*.conf' -E 'reneg-sec|reneg-bytes' /etc/openvpn
# server side, including included files
grep -Rn -E '^reneg-sec' /etc/openvpn/server/

வாடிக்கையாளர் கோப்பிலிருந்து முடிவெடுக்கும் முன் சேவையகத்தின் அமலில் உள்ள கட்டமைப்பையும், அது தள்ளும் அனைத்தையும் சேர்த்துப் படியுங்கள். பின்னர் விவர அளவை உயர்த்தி ஒரு இடைவெளியைத் தொடக்கத்திலிருந்து இறுதி வரை கவனியுங்கள்: நிலை 3 ஏற்கனவே மறுபேச்சு வரிகளைக் காட்டுகிறது, நேர முத்திரைகள் நிகழ்வு ஒவ்வொரு 3600 வினாடிகளுக்கும் மீள்கிறதா அல்லது செயல்பாட்டைப் பின்பற்றுகிறதா என்று சொல்கின்றன.

உண்மையில் தள்ளப்படும் இடத்திலேயே அதை மாற்றுங்கள்

சுற்றிவரும் மருந்து வாடிக்கையாளர் சுயவிவரத்தில் ஒரு வரி, அது சுமார் பாதி நேரம் தவறான இடம். பக்கத்தின் குறைந்த மதிப்பே வெல்வதால், டைமரை பூஜ்ஜியமாக அமைக்கும் வாடிக்கையாளரும் மாறாத சேவையகத்தால் மறுபேச்சுக்கு உள்ளாகலாம்.

# on both ends, or on the side that owns the pushed configuration
reneg-sec 0

சுயவிவரங்கள் மையமாக உருவாக்கப்படும்போது, பயன்படுத்தப்பட்ட நகலை அல்ல, வார்ப்புருவைத் திருத்துங்கள், இல்லையெனில் அடுத்த வழங்கல் ஓட்டம் நீங்கள் இப்போது நீக்கிய மதிப்பை மீட்டெடுக்கும். ஒன்றல்ல, இரண்டு இடைவெளிகளைக் கவனித்துச் சரிபார்க்கவும்: ஒரு அமைதியான மணிநேரம் 7200 ஆக அமைக்கப்பட்ட டைமருடனும் ஒத்துப்போகிறது.

கலப்பு பயன்பாட்டில் என்ன நடக்கிறது என்பதையும் முடிவு செய்யுங்கள். மாற்றத்தை முதலில் வாடிக்கையாளர்களுக்கு விரிவுபடுத்தினால், சேவையகம் இன்னும் புதுப்பிப்பைத் தூண்டும் சாளரம் எஞ்சியிருக்கும்; அது தீங்கற்றது ஆனால் உறுதிப்படுத்தலுக்காகப் பதிவுகளைப் பார்த்தால் குழப்பமாகும். குறைந்த மதிப்பு உள்ள பக்கத்தை முதலில் மாற்றுங்கள், அறிகுறி நீங்கள் எதிர்பார்க்கும் இடத்திலேயே மறையும்.

மறுபேச்சை முடக்குவதன் மூலம் நீங்கள் விட்டுக்கொடுப்பது

வழக்கமான மறுபேச்சு, தரவு சேனல் விசைகளின் ஒரு தொகுப்பு எவ்வளவு காலம் போக்குவரத்தைப் பாதுகாக்கிறது என்பதை வரம்பிடுகிறது. டைமரை அணைப்பது சுரங்கப்பாதையை உடைக்காது, வீட்டு ரவுட்டர் அல்லது சிறிய அலுவலக நுழைவாயிலில் நடைமுறை வெளிப்பாடு மிதமானது. இது இருப்பினும் ஒரு பரிமாற்றம், அதைச் செய்வதற்கு முன் பரிமாற்றத்தைக் குறிப்பிடுவது மதிப்புள்ளது. மாறுவது என்னவென்றால் ஒரு விசைத் தொகுப்பு ஒரு அமர்வை எவ்வளவு காலம் பாதுகாக்கிறது என்பது, சுரங்கப்பாதை இயங்குகிறதா என்பது அல்ல.

முடக்குவதற்கான நியாயமான நிலை, மீண்டும் தொடர முடியாத ஒன்றை உடைக்கும் மீட்டமைப்பு: துண்டிக்கப்படும் அழைப்பு, மீண்டும் நிறுவ வேண்டிய தொலைவு பணிமேசை அமர்வு, தொடக்கத்திலிருந்து மீண்டும் தொடங்கும் காப்புப்பிரதி. இடைவெளி பயனர்களுக்குத் தெரியவில்லை என்றால், இயல்புநிலையை வைத்திருப்பது எதுவும் செலவாகாது, உங்களுக்கு வழங்கப்பட்ட விசைச் சுழற்சியைத் தக்கவைக்கும்.

முறை அனுமதிக்கும்போது காரணத்தைச் சரிசெய்வதை விரும்புங்கள். முதல் கைக்குலுக்கல் வெற்றியடைந்தபோது பாதியில் தோல்வியடையும் புதுப்பிப்பு டைமரை அல்ல, பாதையைச் சுட்டுகிறது: பெரிய கட்டுப்பாட்டு சேனல் பரிமாற்றத்தில் பாக்கெட் அளவுச் சிக்கல், ஓட்டத்தை வீழ்த்தும் நிலைமை தீப்பிடிப்பு, அல்லது முதல் முயற்சியில் மட்டும் வெற்றியடையும் முன்மொழிவு ஆகியவற்றைத் தேடுங்கள். அவை ஒவ்வொன்றும் நீங்கள் இப்போது படித்த அதே பதிவில் ஒரு தடயத்தை விட்டுச் செல்கின்றன. டைமரை அணைப்பது அந்த ஆதாரத்தை மறைக்கிறது.

இடைவெளி வேறெங்கோ சுட்டும்போது

கட்டமைப்பில் உள்ள இரண்டு அண்டை நாடுகள் ஒத்த அறிகுறிகளையும் வெவ்வேறு தீர்வுகளையும் உருவாக்குகின்றன. குறிப்பிட்ட காலத்திற்கு எதுவும் வரவில்லை என்றால் ping-restart சுரங்கப்பாதையை மீண்டும் தொடங்குகிறது, ping-exit வாடிக்கையாளரை முழுமையாகக் கீழிறக்குகிறது. பதிவில் எங்கும் மறுபேச்சு இல்லாத செயலற்ற வெட்டு இவற்றுக்கு அல்லது தனது சொந்த அட்டவணையின்படி UDP வரைபடத்தைக் காலாவதியாக்கிய NAT சாதனத்திற்கு உரியது.

நுகர்வோர் ரவுட்டர்கள், மொபைல் ஹாட்ஸ்பாட்கள் மற்றும் கேரியர் தர NAT அனைத்தும் செயலற்ற UDP அமர்வுகளை யாருக்கும் சொல்லாமல் காலாவதியாக்குகின்றன. அந்தத் தோல்வி கடிகாரத்தை அல்ல, செயலற்ற தன்மையைப் பின்பற்றுகிறது, அதுவே அறிகுறி: பத்து அமைதியான நிமிடங்களுக்குப் பிறகு விழுந்து ஒரு மணிநேரம் நிலையான போக்குவரத்தைத் தாங்கும் அமர்வு மறுபேச்சு செய்யவில்லை.

நான்காவதை மாற்றும் முன் மூன்று விஷயங்களை எழுதுங்கள்: நீங்கள் அளந்த இடைவெளி, நீங்கள் கண்டறிந்த அமலில் உள்ள மதிப்பு, அதைக் காட்டிய கட்டளை. டைமர் நகரும் போது இடைவெளியும் நகர்ந்தால், பொறிமுறை அடையாளம் காணப்பட்டது, தீர்வு மேலேயுள்ள பரிமாற்றம் பற்றிய முடிவு. அது நகரவில்லை என்றால், அமைப்பைத் திருப்பி வைத்து keepalive, NAT நிலை மற்றும் பாக்கெட் இழப்பைத் தொடர்ந்து கவனியுங்கள்.