VPN ontkoppel teen dieselfde interval? Pas die tydhouer
’n Onderbreking op ’n vaste interval is ’n vingerafdruk. Vergelyk die tonnel-sleutelheronderhandeling, die NAT-ledige tydhouer, die DHCP-leenkontrak en die rekeninglimiet voordat jy enigiets verander.
’n Tonnel wat elke vyftien minute sterf, of elke uur op dieselfde minuut, sê vir jou dat een of ander tydhouer verstryk het eerder as dat die netwerk wankelrig is. Die nuttige stap is om die interval neer te skryf en dit met die vier tydhouers te vergelyk wat hierdie patroon lewer. Om die verstektye voor daardie vergelyking te verander, verskuif gewoonlik die fout sonder om dit te verduidelik, wat die volgende voorval moeiliker leesbaar maak as die eerste. Die meting kos tien minute en vervang ’n week van raai.
Verander die interval in ’n getal
Versamel vyf of ses voorvalle en bereken die gaping tussen hulle, nie die gaping vanaf die begin van die dag nie. ’n Onderbreking om 09:12, 10:12 en 11:12 is ’n uurgrens; ’n onderbreking om 09:12, 09:27 en 09:42 is vyftien minute vanaf die laaste suksesvolle verbinding. Rond die resultaat af na die naaste waarskynlike tydhouer eerder as na die naaste minuut.
Teken twee oomblikke per gebeurtenis aan: wanneer verkeer laas beweeg het en wanneer die kliënt die ontkoppeling gerapporteer het. Dié verskil wanneer ’n tonnel stil sterf en die kliënt dit eers by die volgende stuur agterkom, en die verskil is wat ’n ledige verstektyd van ’n harde fout skei. ’n Kliënt wat laat agterkom, blaas die ledige venster op wat jy meet.
Let op of die herverbinding outomaties is. ’n Kliënt wat binne sekondes weer verbind, hou die interval sigbaar in die log en buite die gebruikersverslag, en daarom word hierdie foute dikwels as af en toe eerder as periodiek beskryf. Dit verberg ook die gebeurtenis vir die persoon wat die skootrekenaar gebruik.
Vier tydhouers wat soos mekaar lyk
Byna elke herhalende tonnel-onderbreking kom van een van hierdie: ’n protokol-sleutelheronderhandeling, ’n vervallende ledige kartering, ’n DHCP- of koppelvlak-gebeurtenis, of ’n rekeningbeleid. Hulle verskil in of verkeer gevloei het en in wat die log by die grens sê.
Die onderstaande kenmerke is die moeite werd om te leer, want hulle laat jou drie verklarings met ’n enkele logreël verwerp:
| Timer | Typical trigger | What the log shows at the boundary |
|---|---|---|
| Protocol rekey | Traffic present, fixed interval | Negotiation lines, sometimes a failure |
| NAT or firewall idle | No traffic for minutes | Silence, then a timeout on send |
| DHCP lease or link change | Half the lease, or a radio event | Address or interface churn |
| Account session limit | Wall-clock hours since login | Clean disconnect, server-side reason |
Die eerste ry is ’n sekuriteitsmeganisme wat sy werk doen, en die tweede is ’n middelboks wat staat vergeet. Om hulle te verwar lei daartoe dat jy óf die heronderhandeling verswak óf ’n firewall-reël jaag wat nooit betrokke was nie.
Besig teenoor ledig sê vir jou watter helfte
Voer ’n beheerde vergelyking met deurlopende verkeer uit, soos ’n lang stroom na ’n gasheer binne die tonnel, en kyk of die interval verander. As die onderbreking verdwyn terwyl data vloei, is die tydhouer op ledigheid gebaseer.
As dit deurlopende verkeer oorleef, hoort die sneller by heronderhandeling, leenkontrak of beleid. Daardie enkele toets verwyder die helfte van die kandidate in ongeveer ’n uur se waarneming, en dit kos niks behalwe aandag nie.
Hou die toegangsnetwerk onveranderd tydens die toets. Om tydens die vergelyking tussen Wi-Fi en Ethernet te wissel, bring juis die koppelvlak-gebeurtenis in wat jy van ’n tydhouer probeer onderskei.
Pas die logreël by die grens
Lees die kliënt- en bedienerlogte rondom die aangetekende oomblik, nie die hele lêer nie. ’n Heronderhandeling wys onderhandeling; ’n ledige verstryking wys niks tot die volgende pakkie; ’n leenkontrak-verandering wys adreswerk; ’n beleidslimiet wys gewoonlik ’n skoon administratiewe ontkoppeling.
Hierdie opdragte haal die betrokke venster uit elke bron:
grep -iE "reneg|TLS Error|Inactivity" /var/log/openvpn.log | tail -20
journalctl -u NetworkManager --since "-90 min" | grep -iE "dhcp|link"
wg showAs die drie bronne oor die tydstempel saamstem, het jy die eienaar van die tydhouer. As net die kliëntlog iets het, is dit waarskynlik nie die bediener wat die sessie beëindig nie.
Maak die stadium reg, nie die ikoon nie
Elke eienaar het een ondersteunde herstelling. ’n Heronderhandelingsfout het versoenbare voorstelle aan beide kante nodig. ’n Ledige verstryking het ’n lewendighouding of ’n korter ledige verwagting nodig, binne wat die pad toelaat. ’n Leenkontrak-gebeurtenis het die koppelvlak- of kraginstellings nodig. ’n Rekeninglimiet is ’n beleidsbesluit, nie ’n fout nie.
Om sleutelheronderhandeling of verifikasie af te skakel om die ikoon groen te hou, ruil ’n sigbare onderbreking vir ’n onsigbare swakheid, en dit laat jou nie kan sê wanneer die tonnel laas vars sleutels onderhandel het nie. Toets daarna die oorspronklike duur weer en hou die tydstempels, sodat die volgende gebeurtenis met hierdie een vergelyk kan word eerder as om oor te begin.