Om die DPD-tydhouer te verkort, maak VPN-oorskakeling nie vinniger nie

Tonnels val weg, herstel neem negentig sekondes, en die dooie-portuur-tydhouer is op tien gestel, so die tydhouer kry die skuld. Daardie redenasie slaan drie fases oor wat ná opsporing gebeur en gewoonlik die meeste tyd opneem. Lewendigheidsopsporing merk stilte op; portuurkeuse, verifikasie, roete-installasie en toepassingsherverbinding kry dan elkeen hulle beurt. Om die eerste fase te verkort kan nie die ander verkort nie, en dit kan onrus byvoeg by 'n stelsel wat al sukkel.

Vier fases, waarvan jy een kan tydsbereken

Skryf die herstel as vier gebeurtenisse met tydstempels. Die faling word waarneembaar: die laaste nuttige beskermde verkeer en die eerste mislukte versoek. Die eienaar-meganisme reageer: lewendigheidsopsporing, 'n roetemonitor of 'n ander gedokumenteerde sneller. Die alternatief word bruikbaar: portuurkeuse, verifikasie, 'n nuwe assosiasie en 'n roete wat werklik die bedoelde verkeer dra. Die toepassing herstel: 'n nuwe bewerking slaag en wat aan die gang was, het 'n bepaalde uitkoms.

IKEv2 se lewendigheidsreëls beskryf bewyse oor die portuur en sy uitruilings, en sê niks oor 'n databasis of lêerdiens agter daardie portuur nie. Om 'n lewendigheidstydverstreke te lees as 'n gesondheidskontrole vir die hele pad is die fout wat die tydhouerjag begin.

Waarom die tydhouer die minste interessante getal is

Gekonfigureerde waardes is nie uitruilbare eenhede nie. Sommige is herprobeer-intervalle, sommige is boonste perke op 'n poging, en sommige loop gelyktydig met ander. Om hulle bymekaar te tel, lewer 'n getal op wat soos 'n voorspelling lyk en soos 'n gerug optree. Lees die dokumentasie vir die veld wat jy op die punt is om aan te raak, en let op watter van die drie soorte dit is.

Ander fases is glad nie tydhouers nie. 'n Herverbindingstrugtreding, 'n interaktiewe verifikasievraag of 'n kliënt wat sy konfigurasie net by herbeginning herevalueer, kan elkeen die onderbreking oorheers terwyl elke protokoltydhouer gemaklik laag sit.

Meet die fase wat werklik stadig is

Vang die faling een keer vas, met tydstempels aan beide kante, en vergelyk dan die vier gebeurtenisse eerder as die protokol se eie tellers. Een waarnemingsvenster wat behoorlik gedoen word, klop 'n maand se instel.

ip -4 route get 203.0.113.10
tcpdump -ni any -c 20 "esp or icmp"

As die alternatiewe eindpunt nooit antwoord nie, help geen tydhouerverandering nie, want onbereikbaarheid is nie 'n opsporingsprobleem nie. As nuwe sekuriteitstoestand vinnig gevorm word maar die roete wys steeds na die dooie pad, is die probleem roete-installasie en voeg nog 'n lewendigheidsaanpassing net onrus by.

Die alternatief moet al bruikbaar wees

'n Rugsteun wat in 'n konfigurasie gedefinieer is, is nie 'n rugsteun wat werk nie. Dit moet bereikbaar wees vanaf die kliënt se huidige netwerk, dieselfde identiteit kan verifieer, en toegelaat word om dieselfde verkeer onder dieselfde beleid te dra. Ontdek enige van daardie drie gapings tydens 'n onderbreking en die tydhouerbespreking word irrelevant. Toets die alternatief terwyl die primêre gesond is, want dit is die enigste tyd wat jy beide logboeke langs mekaar kan lees.

Voorsien die alternatief vooraf, toets dit doelbewus terwyl die primêre gesond is, en teken aan watter van die vier fases die tyd neem. Daardie aantekening is wat die volgende verandering 'n meting maak eerder as 'n raaiskoot.

Terugskakel-onrus en die bestuurspad

Om die primêre te herstel is 'n aparte besluit. Aggressiewe terugskakeling kan werk onderbreek wat al op die rugsteun herstel het, en 'n wapperende pad kan soos 'n onstabiele tonnel lyk wanneer die werklike fout 'n roete is wat tussen twee gelyke opsies bly ossilleer.

Twee gelykekoste-paaie sonder voorkeur is die gewone bron van sigbare wappering, want elke monitor reageer op die ander se keuse. Besluit watter pad onder normale omstandighede verkies word, en maak daardie voorkeur eksplisiet in die konfigurasie eerder as om dit aan roete-ordering oor te laat. Definieer die gewenste terugskakelgedrag en wie dit besit, vooraf. Hou die vorige instellings en 'n onafhanklike bestuurspad, want 'n verandering wat jou eie toegang tydens 'n onderbreking verwyder, verander 'n netwerkinsident in 'n werfbesoek.

Herhaal dan dieselfde werklading en vergelyk dieselfde vier tydstempels. 'n Korter herstel wat die toepassing steeds op dieselfde ontbrekende roete of aanmelding laat wag, is nie vooruitgang nie; dit is 'n ander getal op dieselfde grafiek.