OpenVPN já tí ń já lójú wákàtí: ìdúnàádúrà tuntun tàbí ìsopọ̀ tuntun gidi?

Ọgọ́ta ìṣẹ́jú, tàbí ọgbọ̀n, tàbí ọgọ́rùn-ún ó lé ogún: ìjá tí ó bọ́ sórí àárín ìyípo kì í sábà jẹ́ nẹ́tíwọ́kì. OpenVPN ń ṣe ìmúdọ̀tun kọ́kọ́rọ̀ tí ń dáàbò bo ọ̀nà dátà lójú ìwọ̀n àkókò, àti ìwọ̀n àkókò tí ó kúrú ju èyí tí o rò ló dàbí ọ̀nà tí ń kùnà nígbà gbogbo. Àwọn olùmúlò ń sọ pé ìsopọ̀ ti já nígbà tí ìforúkọsọ́ ń sọ pé pàṣípàrọ̀ kọ́kọ́rọ̀ ti yọrísí. Ìtọ́nisọ́nà tí ó wà nísàlẹ̀ yà ìmúdọ̀tun yẹn sọ́tọ̀ kúrò nínú àtúnbẹ̀rẹ̀ gidi, ó ka iye tí ó wà lójú gan-an, ó sì yí i padà lẹ́yìn tí iye owó ti wà lórí tábìlì.

Ṣe àwọn ìgbésẹ̀ ní tẹ̀léntẹ̀lén, nítorí èyí àkọ́kọ́ ń pinnu bóyá ìyókù ojú-ìwé náà kan ọ́ rárá. Bí o bá fò síwájú, ìwọ yóò lo ìrọ̀lẹ́ kan láti ṣe àtúnṣe ìwọ̀n àkókò fún àṣìṣe tí kò ní ìbásepọ̀ kankan pẹ̀lú rẹ̀.

Yà àtúntò rírọ̀ sọ́tọ̀ kúrò nínú àtúnbẹ̀rẹ̀

Ìlà ìforúkọsọ́ ni gbogbo ìwádìí. Ìdúnàádúrà tuntun ń kọ àtúntò rírọ̀, lẹ́yìn náà pàṣípàrọ̀ kọ́kọ́rọ̀ tuntun nínú ìhà kanna: ẹ̀rọ ìsopọ̀ ń pa àdírẹ́sì rẹ̀ mọ́, a kò tún fi àwọn ọ̀nà kún un, àti àwọn ìpàdé TCP tí ó ti wà ń sábà yè kọjá pẹ̀lú ìdánudúró. Àtúnbẹ̀rẹ̀ gidi ń fa ìpàdé ya, ó tún ẹ̀rọ ìsopọ̀ kọ́, ó lè fi àdírẹ́sì alákòóso mìíràn fún, ó sì pa gbogbo ìsopọ̀ tí ó pẹ́. Àwọn ìṣẹ̀lẹ̀ méjèèjì jẹ́ ohun tí ó wọ́pọ̀; ọ̀kan nínú wọn nìkan ni ó ṣàlàyé ìpè tí ó já.

journalctl -u openvpn-client@office -b --no-pager | grep -nE 'soft reset|Connection reset|reneg|TLS Error'
openvpn --version | head -n 1

Ìlà ẹ̀dà ṣe pàtàkì nítorí pé ọ̀rọ̀ ìforúkọsọ́ ń yí padà láàrín àwọn ìtújáde, àti pé ìfiránṣẹ́ tí o rántí láti 2.3 lè jẹ́ kíkọ ní ọ̀nà mìíràn ní 2.6. Ka ìforúkọsọ́ rẹ fúnra rẹ dípò àyọkà fọ́ọ̀mù ẹlòmíràn. Fi ìlà gangan náà hàn nígbà tí o bá ń béèrè fún ìrànlọ́wọ́, nítorí ìtúmọ̀ mìíràn ń pàdánù kúlẹ̀kúlẹ̀ tí ń dá ìṣẹ̀lẹ̀ mọ̀. Bí àdírẹ́sì ẹ̀rọ ìsopọ̀ kò bá yí padà láti ìbẹ̀rẹ̀ dé ìparí ìṣẹ̀lẹ̀, tí àkójọ ìpàdé sì yè, ìwọ ń rí ìmúdọ̀tun, àwọn apá tókù sì kan.

Ka ìwọ̀n àkókò tí ó wà lójú, kì í ṣe fáìlì rẹ

reneg-sec ni iye àwọn ààyá láàrín àwọn ìdúnàádúrà tuntun ti ọ̀nà dátà, ìye àkọ́kọ́ rẹ̀ sì jẹ́ 3600. Ẹ̀gbẹ́ kọ̀ọ̀kan ń gbé iye tirẹ̀, èyí tí ó kéré nínú méjèèjì ni ó ń dá ìmúdọ̀tun sílẹ̀ gan-an. Òfin kan náà yẹn ń ṣàlàyé ọ̀pọ̀lọpọ̀ ìròyìn: prófáìlì alákòóso tí ó fi iye ńlá sílẹ̀ ṣì ń tún ṣe lójú wákàtí nígbà tí olùpín ń pa ìye àkọ́kọ́ mọ́.

grep -Rn --include='*.conf' -E 'reneg-sec|reneg-bytes' /etc/openvpn
# server side, including included files
grep -Rn -E '^reneg-sec' /etc/openvpn/server/

Ka ètò ìṣètò tí ó wà lójú ti olùpín pẹ̀lú, pẹ̀lú gbogbo ohun tí ó ń tì, kí o tó pinnu láti inú fáìlì alákòóso. Lẹ́yìn náà gbé ìpele àlàyé sókè kí o sì wo àárín kan láti ìbẹ̀rẹ̀ dé ìparí: ìpele 3 ti ń fi àwọn ìlà ìdúnàádúrà tuntun hàn, àwọn àmì àkókò sì sọ bóyá ìṣẹ̀lẹ̀ ń tún ṣe ní gbogbo ààyá 3600 tàbí ó ń tẹ̀lé ìgbòkègbodò.

Yí i padà ní ibi tí wọ́n ti ń tì í gan-an

Oògùn tí ń lọ káàkiri ni ìlà kan nínú prófáìlì alákòóso, ó sì jẹ́ ibi tí kò tọ́ ní ìlọ́po ìdajì àkókò. Nítorí pé iye kéré ti ẹ̀gbẹ́ ni ó ń ṣẹ́gun, alákòóso tí ó fi ìwọ̀n àkókò sí òdo ṣì lè jẹ́ kí olùpín tí kò yí padà ṣe ìdúnàádúrà tuntun pẹ̀lú rẹ̀.

# on both ends, or on the side that owns the pushed configuration
reneg-sec 0

Níbi tí wọ́n ti ń ṣẹ̀dá àwọn prófáìlì ní àárín, ṣàtúnṣe àwòṣe náà, kì í ṣe ẹ̀dà tí wọ́n ti fi sílẹ̀, bí bẹ́ẹ̀ kọ́ ìsá sílẹ̀ tó ń bọ̀ yóò mú iye tí o ṣẹ̀ṣẹ̀ yọ kúrò padà. Jẹ́rìí nípa wíwo àárín méjì, kì í ṣe ọ̀kan: wákàtí kan tí ó dákẹ́ tún bá ìwọ̀n àkókò tí wọ́n fi sí 7200 mu.

Pinnu pẹ̀lú ohun tí yóò ṣẹlẹ̀ nínú ìgbékalẹ̀ àpapọ̀. Bí o bá kọ́kọ́ gbé ìyípadà náà dé àwọn alákòóso, fèrèsé kan yóò kù nínú èyí tí olùpín ṣì ń dá ìmúdọ̀tun sílẹ̀; èyí kò léwu ṣùgbọ́n ó ń da èrò rúpẹ́ bí o bá ń wo àwọn ìforúkọsọ́ fún ìjẹ́rìí. Kọ́kọ́ yí ẹ̀gbẹ́ tí ó ní iye kéré padà, àmì yóò sì parẹ́ ní ibi tí o retí.

Ohun tí o ń fi sílẹ̀ nípa pípa ìdúnàádúrà tuntun

Ìdúnàádúrà tuntun déédéé ń dín ìgbà tí àkójọ kọ́kọ́rọ̀ kan ti ọ̀nà dátà máa ń dáàbò bo ìrìnàjò kù. Pípa ìwọ̀n àkókò kò ba ìhà jẹ́, àti lórí ẹ̀rọ olùdarí ilé tàbí ẹnubodè ọ́fíìsì kékeré, ìfarahàn gidi kéré. Ó ṣì jẹ́ pàṣípàrọ̀, ó sì yẹ kí a dárúkọ pàṣípàrọ̀ náà kí o tó ṣe é. Ohun tí ó yí padà ni ìgbà tí àkójọ kọ́kọ́rọ̀ kan máa ń dáàbò bo ìpàdé, kì í ṣe bóyá ìhà ń ṣiṣẹ́ rárá.

Ìdí tí ó bọ́gbọ́n mu fún pípa ni àtúntò tí ó ba ohun kan jẹ́ tí a kò lè tẹ̀síwájú rẹ̀: ìpè tí ń já, ìpàdé desktop jíjìnnà tí a gbọ́dọ̀ tún dá, àkópamọ́ tí ó tún bẹ̀rẹ̀ láti ìbẹ̀rẹ̀. Bí ìdánudúró kò bá hàn sí àwọn olùmúlò, pípa ìye àkọ́kọ́ mọ́ kò ná ohunkóhun, ó sì ń pa ìyípo kọ́kọ́rọ̀ tí wọ́n fún ọ mọ́.

Yàn láti tún ìdí ṣe nígbà tí àwòrán bá gbà á. Ìmúdọ̀tun tí ó kùnà ní àárín nígbà tí ìfọwọ́sowọ́pọ̀ àkọ́kọ́ ṣẹ́gun ń tọ́ka sí ọ̀nà, kì í ṣe ìwọ̀n àkókò: wá ìṣòro ìwọ̀n pákẹ́tì nínú pàṣípàrọ̀ ọ̀nà ìṣàkóso tí ó tóbi, odi iná onípele tí ń ju ṣíṣàn lọ, tàbí àbá tí ó ń ṣẹ́gun ní ìgbìyànjú àkọ́kọ́ nìkan. Ọ̀kọ̀ọ̀kan wọn ń fi àmì sílẹ̀ nínú ìforúkọsọ́ kanna tí o ṣẹ̀ṣẹ̀ kà. Pípa ìwọ̀n àkókò ń fi ẹ̀rí yẹn pamọ́.

Nígbà tí àárín náà bá tọ́ka sí ibòmíràn

Aládùúgbò méjì nínú ètò ìṣètò ń mú àwọn àmì tí ó jọra jáde àti àwọn àtúnṣe oríṣiríṣi. ping-restart ń tún ìhà bẹ̀rẹ̀ nígbà tí ohunkóhun kò bá dé fún àkókò tí a ti ṣètò, nígbà tí ping-exit ń gbé alákòóso kalẹ̀ pátápátá. Ìjá ní àkókò ìdákẹ́ tí kò ní ìdúnàádúrà tuntun kankan nínú ìforúkọsọ́ jẹ́ ti irú wọ̀nyí, tàbí ti ẹ̀rọ NAT kan tí ó jẹ́ kí àwòrán UDP parí lábẹ́ ìtòlẹ́sẹẹsẹ tirẹ̀.

Àwọn ẹ̀rọ olùdarí olùmúlò, àwọn ibi ìsopọ̀ alágbèéká àti NAT ìpele alápàṣẹ́ gbogbo wọn ń jẹ́ kí àwọn ìpàdé UDP tí ó dákẹ́ parí láìsọ fún ẹnikẹ́ni. Ìkùnà yẹn ń tẹ̀lé ìdákẹ́, kì í ṣe aago, ìyẹn sì ni àmì náà: ìpàdé tí ó já lẹ́yìn ìṣẹ́jú mẹ́wàá tí ó dákẹ́, tí ó sì yè kọjá wákàtí kan ti ìrìnàjò tí ó dúró ṣinṣin, kò ń ṣe ìdúnàádúrà tuntun.

Kọ ohun mẹ́ta sílẹ̀ kí o tó yí ìkẹrin padà: àárín tí o wọ̀n, iye tí ó wà lójú tí o rí àti àṣẹ tí ó fi í hàn. Bí àárín bá ń yí nígbà tí ìwọ̀n àkókò ń yí, a ti dá ọ̀nà mọ̀, àtúnṣe náà sì jẹ́ ìpinnu nípa pàṣípàrọ̀ tí ó wà lókè. Bí kò bá yí, dá ètò náà padà kí o sì máa wo keepalive, ipò NAT àti pàdánù pákẹ́tì.