UDP VPN boş qalanda dayanır: firewall axınını unudub

VPN qoşulur, bir müddət işləyir və sonra müştəri hələ də sessiya göstərərkən trafiki keçirməyi dayandırır. Yenidən qoşulma bunu düzəldir və bu, müştəri xətası kimi görünür. Səbəb adətən boş UDP uyğunlaşdırmasını silmiş və tunelin hələ də mövcud olduğunu bilməyən firewall və ya NAT cihazıdır.

Simptom diaqnoz üçün kifayət qədər ardıcıldır: yük altında deyil, hərəkətsizlikdən sonra ortaya çıxır.

Boş dayanma nə kimi görünür

Onu təsvir etmək əvəzinə ölçün. Trafik dayanmadan əvvəl tunelin nə qədər boş qaldığını, yeni gedən paketin onu canlandırıb-canlandırmadığını və müştəri interfeysinin hələ də ünvanını saxlayıb-saxlamadığını qeyd edin. Müştəridən yeni sorğu işləyirsə, amma mövcud axına cavab işləmirsə, şübhəli uyğunlaşdırmadır. Yenidən qoşulana qədər heç nə işləmirsə, müştərinin sessiya vəziyyəti də getmişdir.

Hər ikisi boş qalma ilə bağlıdır və fərqli düzəlişlər tələb edir.

Nəyisə dəyişməzdən əvvəl vaxtları yazın. Təxminən on boş dəqiqədən sonra dayandığını bildirən hesabat yoxlanıla bilər, təsadüfi düşdüyünü bildirən hesabat isə yox. Bu fərq taymerin, yoxsa marşrut dəyişikliyinin arxasınca getdiyinizi müəyyən edir.

Unudan cihazı tapın

Eyni axın üçün bir neçə cihaz vəziyyət saxlaya bilər: yerli marşrutlaşdırıcı, yuxarı axında tərcüməçi, bulud sərhədi və host firewall-u. Hər birinin öz taymeri var və ən qısası qalib gəlir. Beş dəqiqəlik kəsinti adətən bir cihazın digərlərindən xeyli aşağı konfiqurasiya edildiyini bildirir.

Sənədləşdirilmiş standart dəyərin sizin yolda timeout olduğunu güman etməyin. O, bir cihazın standartıdır.

• Ev marşrutlaşdırıcısı: çox vaxt dəqiqələr, bəzən daha az.
• Bulud NAT və ya yük balanslaşdırıcısı: xüsusi olaraq UDP üçün sənədləşdirilmiş boş timeout-a baxın.
• Host firewall-u: netfilter izləmə taymerləri hər axın üçün tətbiq olunur.

Taymerləri faktiki yolda yoxlayın

Linux-da netfilter izləmə taymerləri görünür və tənzimlənə bilər: sysctl net.netfilter.nf_conntrack_udp_timeout və net.netfilter.nf_conntrack_udp_timeout_stream. İkincisi trafik hər iki istiqamətdə görüldükdən sonra tətbiq olunur, buna görə qurulmuş tunel sadə sınaqdan daha uzun yaşaya bilər.

RFC 4787 UDP NAT davranışını və tövsiyə olunan minimumları müəyyən edir. Satıcının standart dəyəri qeyri-adi qısa görünəndə sitat gətiriləcək istinad budur.

Keepalive və yenidən qoşulma fərqli alətlərdir

Keepalive uyğunlaşdırmanı canlı saxlayır; yenidən qoşulma ölü sessiyanı yenidən qurur. Onlar fərqli nasazlıqları həll edir və bir-birini əvəz edən sürət parametrləri deyil. WireGuard-ın PersistentKeepalive hər sabit intervalda paket göndərib NAT bağlantısını açıq saxlayır. OpenVPN-in keepalive seçimi eyni işi öz üsulu ilə görür. Ortadakı cihaz axını artıq unudub hər iki istiqaməti atırsa, heç biri kömək etmir.

Çox tez-tez zondlama səhv sərhədi düzəltmədən iş əlavə edir.

Səhifəni yeniləməklə deyil, yeni sorğu ilə yoxlayın

Taymeri dəyişdikdən və ya keepalive əlavə etdikdən sonra boş ssenarini əvvəlki kimi təkrarlayın. Sonra əhatə olunan tətbiqdən həqiqətən yeni sorğu göndərin. Əvvəlcədən yüklənmiş brauzer nişanı keşdən göstərilə bilər və sizə heç nə deməz.

Dayanma davam edirsə, bir hop xaricə çıxın və həmin cihazın vəziyyət cədvəlini yoxlayın.