Azure OpenVPN tunelinin təxminən hər altmış saniyədə niyə düşməsi

Tunel əl sıxışmasını bitirir, təxminən bir dəqiqə trafik daşıyır və sonra yenidən qoşulur. Bu ardıcıllıq adi şübhəlini istisna edir, çünki portu bloklayan firewall sessiyanı deyil, əl sıxışmasını dayandırardı. Sizdə olan canlılıq barədə fikir ayrılığıdır: bir tərəf digərinin səssizləşdiyini qərara alıb işlək tuneli söküb. Log sətri hansı tərəfin olduğunu deyir və düzəlişi o seçir.

Hər hansı taymerə toxunmazdan əvvəl o sətri oxuyun.

Mif: yolda nəsə tuneli bloklayır

Əgər port bloklansaydı, bağlantı başlanğıcda uğursuz olardı və uğursuz qalardı. Təkrarlanan dövrə nəzarət mesajlarının axdığını, sessiyaların qurulduğunu və söhbətin sonrakı hissəsində nəsə davamlı olaraq bitdiyini bildirir. Bloklama sükut yaradır, bu isə ritm yaradır.

Ritm faydalı ipucudur. Onu taymerlər yaradır; paket itkisi bunu nadir hallarda edir.

Taymerdən əvvəl ayrılma səbəbini oxuyun

OpenVPN səbəbini adlandırır və hər ad fərqli alt sistemə işarə edir. Session invalidated: KEEPALIVE_TIMEOUT bitən taymerdir, ona görə hər iki tərəfdə ping və ping-restart dəyərlərini müqayisə edin. AUTH_FAILED etimadnamə və ya sertifikat vəziyyətidir və heç bir taymer dəyişikliyi kömək etməyəcək. TLS xətası tərəflərin keepalive mərhələsinə heç çatmadığını bildirir.

Qoşulma vaxtını, ayrılma vaxtını və intervalın saniyəyə qədər sabit olub-olmadığını qeyd edin. Bu tək ölçmə konfiqurasiya edilmiş cədvəli təsadüfdən ayırır.

Sabit interval taymerdir. Sürüşən interval daha çox yol problemi və ya yerdəyişmiş sessiyadır.

Heç vaxt razılaşmayan iki keepalive taymeri

Portaldan ixrac edilmiş profillər bəzən hələ də icma serveri şablonundan köçürülmüş keepalive və ya ping-restart sətirlərini daşıyır. Şlüz öz ölü həmkar aşkarlamasını işlədir və öz gözləntilərini tətbiq edir, iki cədvəlin uyğun olması tələb olunmur. Onlar ziddiyyət təşkil edəndə müştəri şlüzün heç vaxt razılaşmadığı cədvəllə yenidən başlayır.

İki dəyər eyni nəzarət deyil. ping müştərinin nə qədər tez-tez əks-səda göndərdiyidir, ping-restart isə tuneli sökməzdən əvvəl heç nə eşitmədən nə qədər gözlədiyidir. Qısa ping-restart quran profil və gec cavab verən şlüz hər sakit dövrdə yenidən başlayacaq, bu da bir dəqiqəlik dövrün tam formasıdır.

Müştəri tərəfində ən kiçik dəyişiklik taymerləri profilin yuxarı səviyyəsində, hər inline blokdan kənarda neytrallaşdırmaqdır:

keepalive 0 0

Yadda saxlayın, profili yenidən yükləyin, yenidən qoşulun. Yaddaşda olan sessiya köhnə dəyərləri saxlayır, buna görə düzəliş bəzən heç nə etməmiş kimi görünür.

Sertifikat adı ayağınızın altından çıxa bilər

Azure sertifikat autentifikasiyası müştərinin şlüzün bu gün təqdim etdiyi ada etimad göstərməsindən asılıdır. Köhnə endirmədəki verify-x509-name sətri şlüzün yenidən qurulması və ya sertifikatın yenilənməsi ilə artıq dəyişmiş adı bərkidə bilər, uyğunsuzluq isə aydın xəta kimi deyil, yenidən qoşulma dövrəsi kimi üzə çıxır. Sətri silmək bağlantını bərpa edir, bu onu yaxşı diaqnostika və pis daimi həll edir, çünki yoxlamanı da aradan qaldırır. Tunel dayandıqdan sonra sətri şlüzün həqiqətən təqdim etdiyi adla bərpa edin.

Şlüzü redaktə etməzdən əvvəl eyni maşında ikinci müştəri nəslini sınayın. Bir müştəri dövrəyə girir, digəri dayanırsa, problem profildə deyil.

Nəyi və hansı ardıcıllıqla dəyişmək

Sonra yerdəyişmiş sessiyanı yoxlayın. Bir sertifikatı paylaşan iki cihaz bir-birini kənara itələyə bilər, nəticə isə dövri görünür, çünki hər iki tərəf yenidən qoşulmağa davam edir. Eyni kimliyin təkrar-təkrar görünməsi üçün nöqtədən sahəyə sessiya qeydlərini müqayisə edin.

Sonra boş yolu bir neçə dəqiqə davamlı trafik işlətməklə sınayın. Trafik axarkən düşmələr dayanırsa, vacib taymer OpenVPN-ə deyil, yoldakı NAT cihazına və ya yük balanslaşdırıcısına aiddir.

Şlüz parametrləri yalnız bu dörd sınaqdan sonra dəyişdirilməlidir.