لماذا ينقطع اتصال VPN الخاص بك في كل مرة تتغير فيها المفاتيح
النفق الذي يموت وفق جدول زمني يفشل عادة في تبادل التجديد، لا في المصافحة الأولية. قارن المقترحات وبيانات الاعتماد وحالة الاستبدال.
يعمل الاتصال لمدة ساعة ثم يموت، ولا يبلغ العميل بشيء أنفع من «disconnected». تلك المدة هي الدليل، لأن شيئًا في تبادل التجديد يختلف عن المصافحة الأولية. المؤقت يحدد فقط متى تصادفه. احفظ رسائل ذلك التبادل بدلًا من التسمية النهائية.
اقرأ المرحلة، لا التسمية
في IKEv2 يتم تجديد ارتباط IKE وارتباط CHILD وفق جدولين منفصلين. المقترح الذي كان مقبولًا في التفاوض الأول ليس مقبولًا تلقائيًا في الثاني. قد يكتمل أحدهما بينما يُرفض الآخر، فينتج نفق موجود نصف وجود. التقط التبادل بالأداة التي تملكه بدلًا من سجل العميل:
swanctl --list-sas
swanctl --log --level 2
ip xfrm state listبالنسبة إلى OpenVPN، الحدث المكافئ هو إعادة تفاوض تحكمها النسخة وإعدادات النشر. لسلوك المصادقة فيه أنماط فشل خاصة به. الرسالة المهمة تذكر المرحلة الفاشلة، وعليك تسجيلها حرفيًا بدلًا من إعادة صياغتها في تذكرة.
سجّل الطوابع الزمنية أيضًا. الانقطاع على فاصل ثابت بعد آخر تفاوض ناجح نتيجة مختلفة تمامًا عن انقطاع يأتي عشوائيًا أثناء الاستخدام، والفاصل غالبًا هو الدليل الوحيد الذي يبقى.
قارن المقترح الذي يفشل
المقترح المرفوض ينتج رسالة واضحة عند المستجيب. السبب المعتاد هو اختلاف بين الطرفين في الخوارزمية أو طول المفتاح أو المجموعة أو مدة الصلاحية. قد يكون تفاوض CHILD الأول قد نجح لأنه بدأ من الطرف الآخر، أي أنه استخدم قائمة مقترحات الطرف الآخر. انظر إلى الطرفين قبل تغيير أي شيء.
اختلاف مدة الصلاحية يستحق انتباهًا خاصًا، لأن قيمة بدت سخية عند طرف قد تجعل الطرف الآخر يبدأ تجديدًا لا يستطيع إكماله. توثيق سلوك إعادة تغيير المفتاح يصف كيف يُطلق تجديد الارتباط وكيف يمكن أن يختلف الطرفان في توقعاتهما الزمنية. قارن ما يدّعي كل طرف دعمه بدلًا مما يقترحه ملف التكوين.
ملف تعريف قديم أو قالب مزود قد يثبت مقترحًا لم تعد النسخة الحالية تقدمه. لا يظهر التباين إلا عندما يُفرض تفاوض جديد.
افصل مشكلة بيانات الاعتماد عن النظير غير القابل للوصول
التجديد الذي يفشل في المصادقة يبدو مشابهًا في العميل ومختلفًا تمامًا على الخادم. إذا أُعيد التحقق من بيانات الاعتماد عند إعادة التفاوض، فإن شهادة منتهية أو حسابًا ملغى أو كلمة مرور متغيرة ستنتج انقطاعًا على فاصل التجديد بالضبط بينما نجح كل اتصال سابق. النظير غير القابل للوصول هو الاحتمال الثالث، ولا ينتج أي رفض على الإطلاق: تغادر الحزم ولا يجيب شيء. تلك الحالة عادةً تتبع تغيرًا في الشبكة لا مؤقتًا، لذا تحقق مما إذا كان الفشل يتبع تجوالًا أو فترة خمول أو تغيرًا في المسار.
ميّز الثلاثة بما سجله الطرف البعيد. الرفض مع سبب وفشل المصادقة والصمت ثلاث معالجات مختلفة. إعادة تشغيل العميل تجمعها في ملاحظة واحدة غير مفيدة.
تحقق من تواريخ الشهادة وحالة الحساب قبل لوم الشبكة. كلاهما رخيص الفحص وكلاهما غير مرئي في رسالة العميل نفسه.
افرض تجديدًا واحدًا واقرأ النتيجة
افرض تجديدًا واحدًا عبر الطريقة المدعومة من المشغل بدلًا من انتظار ساعة للتالي. أبقِ سياسة الفشل المطلوبة سليمة أثناء ذلك. تعطيل التحقق أو تمديد مدد الصلاحية إلى يوم يجعل العَرَض يختفي من سجلاتك دون تصحيح أي شيء. كما يترك انقطاعًا أطول ينتظر الشخص التالي.
بمجرد أن يصبح الإصلاح في مكانه، افحص النفق المجدد ثم أرسل طلبًا جديدًا من التطبيق. جلسة تطبيق كانت حية عندما تغير الارتباط قد تحتاج إلى تعافيها الخاص حتى مع عودة النفق إلى الصحة. سيبلغ المستخدمون عن ذلك بأن VPN ما زال معطلًا.
سجّل إصدارات الإصدار والمؤقتات المتفاوض عليها والمرحلة التي فشلت. يمكن بعد ذلك مقارنة التكرار التالي بهذا بدلًا من وصفه مرة أخرى من الذاكرة.