Waarom jou VPN elke keer val wanneer die sleutels roteer

Die verbinding werk vir 'n uur en sterf dan, en die kliënt rapporteer niks nuttiger as disconnected nie. Daardie tydperk is die leidraad, want iets aan die hernuwingsuitruiling verskil van die aanvanklike handdruk. Die tydhouer bepaal net wanneer jy dit teëkom. Stoor die boodskappe van daardie uitruiling eerder as die finale etiket.

Lees die stadium, nie die etiket nie

In IKEv2 word die IKE-vereniging en die CHILD-vereniging op aparte skedules hernu. 'n Voorstel wat vir die eerste onderhandeling aanvaarbaar was, is nie outomaties vir die tweede aanvaarbaar nie. Die een kan voltooi terwyl die ander verwerp word, wat 'n tonnel lewer wat half bestaan. Teken die uitruiling op met die gereedskap wat dit besit, eerder as met 'n kliëntlogreël:

swanctl --list-sas
swanctl --log --level 2
ip xfrm state list

For OpenVPN is die ekwivalente gebeurtenis 'n heronderhandeling wat deur die weergawe en die ontplooiingsinstellings beheer word. Die verifikasiegedrag daarvan het sy eie foutmodusse. Die boodskap wat saak maak, noem die mislukte stadium, en jy moet dit letterlik aanteken eerder as om dit in 'n kaartjie te herformuleer.

Skryf ook die tydstempels neer. 'n Val op 'n vaste interval ná die laaste suksesvolle onderhandeling is 'n heel ander bevinding as een wat lukraak tydens gebruik opduik, en die interval is dikwels die enigste bewys wat oorleef.

Vergelyk die voorstel wat misluk

'n Verwerpte voorstel lewer 'n duidelike boodskap by die responder. Die gewone oorsaak is 'n verskil tussen die twee kante in algoritme, sleutellengte, groep of leeftyd. Die aanvanklike kind-onderhandeling kon geslaag het omdat dit deur die ander kant geïnisieer is, wat beteken dat dit die ander kant se voorstelllys gebruik het. Kyk na beide kante voordat jy iets verander.

Leeftydwanverhoudings verdien spesiale aandag, want 'n waarde wat aan een kant ruim gelyk het, kan die ander kant 'n hernuwing laat begin wat dit nie kan voltooi nie. Die dokumentasie oor hernuwinggedrag beskryf hoe verenigingshernuwing geaktiveer word en hoe die twee kante in hul tydsverwagtinge kan verskil. Vergelyk wat elke kant sê dat hy ondersteun, eerder as wat die konfigurasielêer voorstel.

'n Ou profiel of 'n verskaffersjabloon kan 'n voorstel vashou wat die huidige weergawe nie meer bied nie. Die wanverhouding kom net na vore wanneer 'n nuwe onderhandeling gedwing word.

Skei 'n geloofsbriefprobleem van 'n onbereikbare portuur

'n Hernuwing wat verifikasie faal, lyk in die kliënt soortgelyk en op die bediener heeltemal anders. As 'n geloofsbrief by heronderhandeling weer nagegaan word, sal 'n vervalde sertifikaat, 'n herroepe rekening of 'n veranderde wagwoord 'n val op presies die hernuwingsinterval veroorsaak, terwyl elke vroeëre verbinding geslaag het. 'n Onbereikbare portuur is die derde moontlikheid, en dit lewer glad geen verwerping nie: die pakkette vertrek en niks antwoord nie. Daardie geval volg gewoonlik 'n netwerkverandering eerder as 'n tydhouer, so kyk of die fout na 'n swerf, 'n onaktiewe tydperk of 'n roeteverandering kom.

Onderskei die drie deur wat die verre kant gelog het. 'n Verwerping met 'n rede, 'n verifikasiefout en stilte is drie verskillende herstellings. Om die kliënt te herbegin, vou hulle saam in een onbruikbare waarneming.

Kontroleer die sertifikaatdatums en die rekeningtoestand voordat jy die netwerk blameer. Albei is goedkoop om na te gaan en albei is onsigbaar in die kliënt se eie boodskap.

Dwing een hernuwing af en lees die resultaat

Dwing een hernuwing af deur die operateur se ondersteunde metode eerder as om 'n uur vir die volgende te wag. Hou die vereiste foutbeleid ongeskonde terwyl jy dit doen. Om verifikasie uit te skakel of leeftye na 'n dag te rek, laat die simptoom uit jou logs verdwyn sonder om iets reg te maak. Dit laat ook 'n langer onderbreking vir die volgende persoon wag.

Sodra 'n regstelling in plek is, kyk na die hernieude tonnel en maak dan 'n nuwe versoek uit die toepassing. 'n Toepassingsessie wat geleef het toe die vereniging verander het, het dalk sy eie herstel nodig, selfs al is die tonnel weer gesond. Gebruikers sal dit rapporteer as die VPN wat nog steeds stukkend is.

Teken die vrystellingsweergawes, die onderhandelde tydhouers en die stadium wat gefaal het aan. Die volgende herhaling kan dan met hierdie een vergelyk word eerder as om weer uit die geheue beskryf te word.