Nega sizning OpenVPN mijozingiz bitta vaqt tugagach o'chib qoladi

Dushanba tongi: juma kuni ko'tarilgan tunnel yo'q, interfeys hali ro'yxatda turadi va jurnalda uni kimdir payqagani haqida hech narsa yozilmagan. Xost onlayn, panel yashil, dam olish kunlari yuborganlari esa fizik interfeys orqali chiqib ketgan. Bu yerda ikkita mustaqil qaror yetishmaydi: biri mijoz jarayoni vaqtinchalik nosozlikdan omon qoladimi, ikkinchisi uning ustidagi narsa jarayon chiqqandan keyin uni qayta ishga tushiradimi. Faqat bittasini tuzatish ikkinchi bo'shliqni ochiq qoldiradi.

Monitoring da'vo qilganidan emas, birlik aslida nima qilganidan boshlang. systemctl status openvpn-client@office va journalctl -u openvpn-client@office -n 50 chiqish sababini va mijoz ketishdan oldin yozgan oxirgi satrni ko'rsatadi.

Jarayon hech kim payqamasdan oldin chiqib ketdi

Xatosiz g'oyib bo'lgan mijoz odatda ataylab chiqqan bo'ladi. Bu xatti-harakatni xizmat menejeri emas, profil belgilaydi: ping-exit qarshi tomon javob berishni to'xtatishi bilan jarayonni tugatadi, ping-restart esa jarayonni saqlab qoladi va uning ichida qayta ulanadi. Sessiya chegaralari va harakatsizlik taymerlari tashqaridan xuddi shunday manzarani beradi: tunnel ham, signal ham yo'q.

Ikki ping ko'rsatmasi bitta profilda birga bo'la olmaydi, shuning uchun bittasini tanlang va tanlovni yozib qo'ying. Serverni ham ko'ring, chunki uning o'z ping-exit mijoz nima so'raganidan qat'i nazar sessiyani yopadi va bu qarorni kim qabul qilganini faqat server jurnali yozadi.

ping-exit va ping-restart o'rtasidagi tanlov

O'zini davolashi kerak bo'lgan noutbuk yoki uzoq joy uchun ping-restart ni tanlang, o'lik tunnel jarayonni to'xtatib, boshqa narsa unga javob berishi kerak bo'lgan holatlar uchun ping-exit ni saqlang. Raqamlar munosabatdan kamroq muhim: ping 10 ping-restart 60 bilan birga tekshiruvdan oldin o'n soniya, qayta ishga tushirishdan oldin oltmish soniya sukunat degani, bu yo'qotishli mobil kanalda tajovuzkor va kabelda oqilonadir. Sababni satr yoniga yozing, aks holda keyingi o'quvchi standart qiymatlar ataylab qo'yilgan deb o'ylaydi.

Keyin chiqqan narsa haqiqatan jarayon ekanligini tasdiqlang. Tunnel o'lik turganda faol deb xabar beradigan birlik boshqa nosozlik bo'lib, u quyida ko'rib chiqiladi.

Birlikni haqiqatan qayta ishga tushiradigan nazorat

systemd xostida eng kichik barqaror o'zgarish bitta drop-in fayl: Restart=on-failure va RestartSec=10 /etc/systemd/system/[email protected]/restart.conf ichida. drop-in faqat systemd o'z ta'riflarini qayta yuklaganda o'qiladi, shuning uchun keyin systemctl daemon-reload ni ishga tushiring. Qiymat yetib keldi deb hisoblash o'rniga systemctl show -p Restart -p ExecMainStatus openvpn-client@office bilan tekshiring. Fayl nomidagi nusxa birlik haqiqatan yuklaydigan profil bo'lishi kerak, shuning uchun office uchun yozilgan fayl openvpn-client@home uchun hech narsa qilmaydi.

on-failure bitta holatni e'tiborsiz qoldiradi: holati nol bo'lgan toza chiqish. Ba'zi demontaj yo'llari shunday tugaydi, shuning uchun qo'llanma sahifasidagi so'zlarga ishonmasdan yozilgan holatni o'qing. Agar mijozingiz nol bilan taslim bo'lsa, sizga Restart=always kerak, narxi esa haqiqatan buzilgan profil ishga tushish tezligi chegarasi ishlamaguncha va jurnal to'lmaguncha qayta-qayta qaytib turadi.

Restart=always ataylab to'xtatgandan keyin ham ishga tushadi. Texnik xizmat uchun systemctl stop dan foydalaning va ishlayotganingizda birlik o'chirilgan turishi kerak bo'lsa uni maskalang.

Tunnel o'chirilgan paytda oqishni ushlang

Nazorat tunnelni qaytaradi; tunnel yo'q paytda trafikning chiqib ketishini to'xtatmaydi. persist-tun qayta ulanishlar orasida qurilma va uning marshrutlarini saqlaydi, bu qulay va oyna ochadi. Qurilma omon qoladi, marshrutlar hanuz unga qaratilgan, paketlar esa himoyasiz va xabarsiz chiqib ketadi. Bu siyosat tanlovi, betaraf standart emas.

Xost himoyalanmagan paketlarni umuman chiqarmasligi kerak bo'lsa, buni faqat xavfsizlik devori kafolatlay oladi. Tunnel interfeysi va VPN server manziliga ruxsat berib, qolgan hammasini tashlaydigan chiqish qoidasi mijoz o'lgandan keyin ham amal qiladi va mijozning o'z konfiguratsiyasida mijoz tashimayotgan trafikni filtrlay oladigan hech narsa yo'q.

Mijozni ataylab to'xtatib buni sinab ko'ring. systemctl stop openvpn-client@office ni, keyin curl -m 5 https://example.com ni ishga tushiring, u fizik kanal orqali muvaffaqiyat qozonish o'rniga muvaffaqiyatsiz bo'lishi kerak. Muvaffaqiyat xavfsizlik devori qoidasi yo'qligini yoki juda ruxsat beruvchi ekanini bildiradi.

Qayta ulaning, tunnel yana trafik tashiyotganini tasdiqlang va shundan keyingina tekshiruvni monitoringga qo'shing. cron orqali ip addr ni tun qurilmasi uchun so'rash eng ko'p muvaffaqiyatsiz bo'ladigan nazorat, chunki persist-tun bilan qurilma sessiyadan uzoq yashaydi va hech narsa tashilmayotganda ham tekshiruv sog'liq haqida xabar beradi.