Waarom 'n Azure OpenVPN-tonnel omtrent elke sestig sekondes val

Die tonnel voltooi sy handdruk, dra verkeer vir omtrent 'n minuut en herverbind dan. Dié volgorde skakel die gewone verdagte uit, want 'n firewall wat die poort blokkeer, sou die handdruk eerder as die sessie gestop het. Wat jy het, is 'n meningsverskil oor lewendigheid: een kant het besluit die ander het stil geword en 'n werkende tonnel afgebreek. Die logreël sê watter kant, en dit bepaal die regstelling.

Lees daardie reël voordat jy enige tydhouer aanraak.

Die mite: iets in die pad blokkeer die tonnel

As 'n poort geblokkeer was, sou die verbinding aan die begin misluk en misluk bly. 'n Herhalende siklus beteken beheerboodskappe vloei, sessies vestig, en iets later in die gesprek hou aan om te verval. Blokkering veroorsaak stilte, en dit veroorsaak 'n ritme.

Ritme is die nuttige leidraad. Tydhouers produseer dit; pakketverlies selde.

Lees die ontkoppelingsrede voor die tydhouer

OpenVPN noem sy rede, en elke naam wys na 'n ander substelsel. Session invalidated: KEEPALIVE_TIMEOUT is 'n tydhouer wat verval, so vergelyk ping- en ping-restart-waardes aan albei kante. AUTH_FAILED is geloofsbriewe of sertifikaatstatus, en geen tydhouerwysiging sal help nie. 'n TLS-fout beteken die eweknieë het nooit die keepalive-stadium bereik nie.

Teken die verbindingstyd, die ontkoppelingstyd en of die interval tot op die sekonde stabiel is, aan. Daardie enkele meting skei 'n gekonfigureerde skedule van 'n toevalligheid.

'n Stabiele interval is 'n tydhouer. 'n Drywende een is heel waarskynlik 'n padprobleem of 'n verskuifde sessie.

Twee keepalive-tydhouers wat nooit ooreengekom het nie

Profiele wat uit die portaal uitgevoer is dra soms steeds lyne soos keepalive of ping-restart wat uit 'n sjabloon vir 'n gemeenskapsbediener gekopieer is. Die poort het sy eie dooie-eweknie-opsporing en stoot sy eie verwagtinge uit, en die twee skedules hoef nie te ooreen te stem nie. Wanneer hulle verskil, herbegin die kliënt op 'n skedule waarmee die poort nooit saamgestem het nie.

Die twee waardes is nie dieselfde beheer nie. ping is hoe dikwels die kliënt 'n eggo stuur, en ping-restart is hoe lank hy wag sonder om iets te hoor voordat hy die tonnel afbreek. 'n Profiel met 'n kort ping-restart en 'n poort wat stadig antwoord, sal by elke stil periode herbegin, wat presies die vorm is van 'n siklus van een minuut.

Die kleinste verandering aan die kliëntekant is om die tydhouers op die hoogste vlak van die profiel te neutraliseer, buite elke inline-blok:

keepalive 0 0

Stoor, herlaai die profiel, herverbind. 'n Sessie wat reeds in die geheue is, hou die ou waardes, en daarom lyk dit soms of die wysiging niks gedoen het nie.

Die sertifikaatnaam kan onder jou voete verskuif

Azure-sertifikaatverifikasie hang daarvan af dat die kliënt die naam vertrou wat die poort vandag voorhou. 'n verify-x509-name-reël in 'n ouer aflaai kan 'n naam vaspen wat 'n poortherbou of 'n sertifikaathernuwing intussen verander het, en die wanverhouding verskyn as 'n herverbindings-lus eerder as 'n duidelike fout. Die verwydering van die reël herstel konnektiwiteit, wat dit 'n goeie diagnostikum en 'n swak permanente oplossing maak, want dit verwyder ook verifikasie. Sodra die tonnel hou, herstel die reël met die naam wat die poort werklik voorhou.

Toets 'n tweede kliëntgenerasie op dieselfde masjien voordat jy die poort wysig. As een kliënt loops en die ander hou, is die profiel nie die probleem nie.

Wat om te verander, en in watter volgorde

Kyk volgende na 'n verskuifde sessie. Twee toestelle wat een sertifikaat deel, kan mekaar uitstoot, en die resultaat lyk periodiek omdat albei kante aanhou herverbind. Vergelyk die punt-tot-punt-sessierekords vir dieselfde identiteit wat weer en weer verskyn.

Toets dan die ledige pad deur vir 'n paar minute deurlopende verkeer te laat loop. As die valle ophou terwyl verkeer vloei, behoort die tydhouer wat saak maak aan 'n NAT-toestel of lasbalanseerder op die pad, nie aan OpenVPN nie.

Slegs nadat daardie vier toetse gedoen is, behoort poortinstellings te verander.