Har soatlik OpenVPN uzilishi: qayta muzokara yoki haqiqiy qayta ulanish?

Oltmish daqiqa, yoki o‘ttiz, yoki yuz yigirma: yumaloq intervalga tushadigan uzilish deyarli hech qachon tarmoq emas. OpenVPN taymer bo‘yicha ma’lumot kanalini himoya qiluvchi kalit materialini yangilaydi, va siz o‘ylaganidan qisqaroq taymer doimiy ravishda muvaffaqiyatsiz bo‘ladigan bog‘lanishga aynan o‘xshaydi. Foydalanuvchilar uzilgan ulanish haqida xabar beradi, jurnal esa muvaffaqiyatli kalit almashinuvi haqida xabar beradi. Quyidagi qo‘llanma o‘sha yangilanishni haqiqiy qayta ishga tushirishdan ajratadi, amalda kuchda bo‘lgan qiymatni o‘qiydi va xarajat stolga qo‘yilgandan keyingina uni o‘zgartiradi.

Qadamlarni tartib bilan bajaring, chunki birinchisi sahifaning qolgan qismi sizga umuman tegishli yoki yo‘qligini hal qiladi. Oldinga sakrasangiz, u bilan hech qanday aloqasi bo‘lmagan nosozlik uchun taymerni sozlashga bir oqshom sarflaysiz.

Yumshoq qayta o‘rnatishni qayta ishga tushirishdan ajrating

Jurnal satri butun tashxis. Qayta muzokara yumshoq qayta o‘rnatishni yozadi, so‘ngra o‘sha tunnelling ichida yangi kalit almashinuvi: interfeys o‘z manzilini saqlaydi, marshrutlar qayta qo‘shilmaydi, va o‘rnatilgan TCP sessiyalari odatda tanaffus bilan omon qoladi. Haqiqiy qayta ishga tushirish sessiyani yirtib tashlaydi, interfeysni qayta quradi, balki boshqa mijoz manzilini beradi va har bir uzoq muddatli ulanishni o‘ldiradi. Ikkala voqea ham oddiy; ulardan faqat bittasi uzilgan qo‘ng‘iroqni tushuntiradi.

journalctl -u openvpn-client@office -b --no-pager | grep -nE 'soft reset|Connection reset|reneg|TLS Error'
openvpn --version | head -n 1

Versiya satri muhim, chunki jurnal tahriri nashrlar orasida o‘zgaradi, va 2.3 dan eslab qolgan xabar 2.6 da boshqacha yozilgan bo‘lishi mumkin. Boshqaning forum parchasi emas, o‘z jurnalingizni o‘qing. Yordam so‘raganda aniq satrni keltiring, chunki qayta bayon qilish voqeani aniqlaydigan tafsilotni yo‘qotadi. Agar voqea davomida interfeys manzili o‘zgarmagan bo‘lsa va sessiyalar ro‘yxati omon qolgan bo‘lsa, siz yangilanishni ko‘ryapsiz va qolgan bo‘limlar amal qiladi.

Amaldagi taymerni o‘qing, o‘z faylingizni emas

reneg-sec ma’lumot kanalining qayta muzokaralari orasidagi soniyalar soni va uning standart qiymati 3600. Har bir tomon o‘z qiymatini olib yuradi, va ikkisidan kichigi yangilanishni amalda ishga tushiradi. Shu bitta qoida hisobotlarning ko‘pchiligini tushuntiradi: katta son qo‘yadigan mijoz profili ham server standart qiymatni saqlab turganda har soatda qayta o‘rnatiladi.

grep -Rn --include='*.conf' -E 'reneg-sec|reneg-bytes' /etc/openvpn
# server side, including included files
grep -Rn -E '^reneg-sec' /etc/openvpn/server/

Mijoz faylidan xulosa chiqarishdan oldin serverning amaldagi konfiguratsiyasini ham, u itaradigan hamma narsa bilan birga o‘qing. So‘ngra tafsilot darajasini oshirib, bitta intervalni boshidan oxirigacha kuzating: 3-daraja allaqachon qayta muzokara satrlarini ko‘rsatadi, va vaqt belgilari voqea har 3600 soniyada takrorlanishini yoki faollikka ergashishini aytadi.

Uni amalda itariladigan joyda o‘zgartiring

Aylanayotgan davo — mijoz profilidagi bitta satr, va vaqtning taxminan yarmida bu noto‘g‘ri joy. Tomonning kichik qiymati g‘alaba qozongani uchun, taymerni nolga qo‘ygan mijoz ham o‘zgarmagan server tomonidan qayta muzokara qilinishi mumkin.

# on both ends, or on the side that owns the pushed configuration
reneg-sec 0

Profillar markazlashtirilgan holda yaratilsa, joylashtirilgan nusxani emas, shablonni tahrirlang, aks holda keyingi ta’minot yurishi hozir olib tashlagan qiymatni tiklaydi. Bitta emas, ikkita intervalni kuzatib tekshiring: bitta tinch soat 7200 ga qo‘yilgan taymer bilan ham mos keladi.

Aralash joylashtirishda nima bo‘lishini ham hal qiling. O‘zgarishni avval mijozlarga tarqatsangiz, server hali ham yangilanishni ishga tushiradigan oyna qoladi; bu zararsiz, lekin tasdiqlash uchun jurnallarni kuzatsangiz chalkashtiradi. Avval kichik qiymatli tomonni o‘zgartiring va alomat kutgan joyingizda yo‘qoladi.

Qayta muzokarani o‘chirish bilan nimadan voz kechasiz

Muntazam qayta muzokara ma’lumot kanali kalitlarining bir to‘plami trafikni qancha vaqt himoya qilishini cheklaydi. Taymerni o‘chirish tunnelni buzmaydi, va uy routeri yoki kichik ofis darvozasida amaliy ta’sir kamtar. Bu baribir almashinuv, va uni amalga oshirishdan oldin almashinuvni aytib o‘tish arziydi. O‘zgaradigan narsa — bir kalit to‘plami sessiyani qancha vaqt himoya qilishi, tunnel umuman ishlashi emas.

O‘chirishning oqilona holati — davom ettirib bo‘lmaydigan narsani buzadigan qayta o‘rnatish: uziladigan qo‘ng‘iroq, qayta o‘rnatilishi kerak bo‘lgan masofaviy ish stoli sessiyasi, boshidan boshlanadigan zaxira nusxa. Agar tanaffus foydalanuvchilarga ko‘rinmasa, standart qiymatni saqlash hech narsaga turmaydi va sizga berilgan kalit aylanishini saqlaydi.

Naqsh imkon bersa, sababni tuzatishni afzal ko‘ring. Birinchi qo‘l berish muvaffaqiyatli bo‘lgani holda yarim yo‘lda muvaffaqiyatsiz bo‘lgan yangilanish taymerga emas, yo‘lga ishora qiladi: kattaroq boshqaruv kanali almashinuvida paket o‘lchami muammosini, oqimni tashlaydigan holatli xavfsizlik devorini yoki faqat birinchi urinishda muvaffaqiyatli bo‘ladigan taklifni qidiring. Ularning har biri hozir o‘qigan o‘sha jurnalda iz qoldiradi. Taymerni o‘chirish bu dalilni yashiradi.

Interval boshqa joyga ishora qilganda

Konfiguratsiyadagi ikki qo‘shni o‘xshash alomatlar va turli tuzatishlar beradi. Belgilangan davrda hech narsa kelmasa, ping-restart tunnelni qayta ishga tushiradi, ping-exit esa mijozni butunlay tushiradi. Jurnalda hech qayerda qayta muzokarasiz bo‘sh turgan uzilish shularga yoki UDP xaritasini o‘z jadvali bo‘yicha tugatgan NAT qurilmasiga tegishli.

Iste’molchi routerlari, mobil hotspotlar va operator darajasidagi NAT barchasi bo‘sh turgan UDP sessiyalarini hech kimga aytmasdan tugatadi. Bu nosozlik soatga emas, bo‘sh turishga ergashadi, va bu — belgi: o‘n tinch daqiqadan keyin uzilib, bir soat barqaror trafikka chidaydigan sessiya qayta muzokara qilmayapti.

To‘rtinchisini o‘zgartirishdan oldin uchta narsani yozib qo‘ying: o‘lchangan interval, topilgan amaldagi qiymat va uni ko‘rsatgan buyruq. Agar taymer harakatlanganda interval ham harakatlansa, mexanizm aniqlangan va tuzatish yuqoridagi almashinuv haqidagi qaror. Agar harakatlanmasa, sozlamani qaytarib qo‘ying va keepalive, NAT holati va paket yo‘qotishini kuzatishda davom eting.