Скарачэнне таймера DPD не паскорыць пераключэнне VPN

Тунэлі падаюць, аднаўленне займае дзевяноста секунд, а таймер мёртвага партнёра ўсталяваны на дзесяць, таму вінавацяць таймер. Гэтае разважанне прапускае тры этапы, якія адбываюцца пасля выяўлення і звычайна займаюць большую частку часу. Выяўленне жыццяздольнасці заўважае цішыню; затым выбар партнёра, аўтэнтыфікацыя, усталяванне маршруту і перападключэнне праграмы бяруць сваю чаргу. Скарачэнне першага этапу не можа скараціць астатнія, і яно можа дадаць турбот сістэме, якая ўжо пакутавала.

Чатыры этапы, адзін з якіх вы можаце замерыць

Запішыце аднаўленне як чатыры падзеі з адзнакамі часу. Збой робіцца назіральным: апошні карысны абаронены трафік і першы няўдалы запыт. Механізм-уладальнік рэагуе: выяўленне жыццяздольнасці, манітор маршруту або іншы дакументаваны трыгер. Альтэрнатыва робіцца прыдатнай: выбар партнёра, аўтэнтыфікацыя, новае аб'яднанне і маршрут, які сапраўды нясе патрэбны трафік. Праграма аднаўляецца: новая аперацыя паспяхова выконваецца, а тое, што было ў працэсе, атрымлівае вызначаны вынік.

Правілы жыццяздольнасці IKEv2 апісваюць сведчанні пра партнёра і яго абмены і нічога не кажуць пра базу даных або файлавую службу за гэтым партнёрам. Чытанне тайм-аўту жыццяздольнасці як праверкі здароўя ўсяго шляху — гэта памылка, якая пачынае паляванне на таймер.

Чаму таймер — найменш цікавы лік

Настроеныя значэнні не з'яўляюцца ўзаемазаменнымі адзінкамі. Некаторыя — інтэрвалы паўтору, некаторыя — верхнія межы спробы, а некаторыя ідуць адначасова з іншымі. Складанне іх разам дае лік, які выглядае як прагноз, а паводзіць сябе як чутка. Чытайце дакументацыю для поля, якое збіраецеся змяніць, і адзначце, які з трох гэта тыпаў.

Іншыя этапы зусім не таймеры. Затрымка перападключэння, інтэрактыўны запыт аўтэнтыфікацыі або кліент, які пераацэньвае сваю канфігурацыю толькі пры перазапуску, могуць кожны дамінаваць у збоі, пакуль усе таймеры пратаколу спакойна трымаюцца нізка.

Мерайце этап, які сапраўды марудны

Злавіце збой аднойчы, з адзнакамі часу з абодвух бакоў, затым параўнайце чатыры падзеі, а не ўласныя лічыльнікі пратаколу. Адно правільна праведзенае акно назірання лепшае за месяц наладкі.

ip -4 route get 203.0.113.10
tcpdump -ni any -c 20 "esp or icmp"

Калі альтэрнатыўны канчатковы пункт ніколі не адказвае, ніякае змяненне таймера не дапаможа, бо недасяжнасць — не праблема выяўлення. Калі новы стан бяспекі фармуецца хутка, але маршрут па-ранейшаму паказвае на мёртвы шлях, праблема ва ўсталяванні маршруту, і чарговая папраўка жыццяздольнасці толькі дадае турбот.

Альтэрнатыва павінна быць ужо прыдатнай

Рэзерв, вызначаны ў канфігурацыі, — не рэзерв, які працуе. Ён павінен быць дасяжным з бягучай сеткі кліента, здольным аўтэнтыфікаваць тую ж саму асобу і мець дазвол несці той жа трафік па той жа палітыцы. Выявіце любую з гэтых трох прорваў падчас збою — і размова пра таймер становіцца недарэчнай. Тэстуйце альтэрнатыву, пакуль асноўны здаровы, бо гэта адзіны час, калі можна чытаць абодва журналы побач.

Падрыхтуйце альтэрнатыву загадзя, свядома пратэстуйце яе, пакуль асноўны здаровы, і запішыце, які з чатырох этапаў забірае час. Менавіта гэты запіс робіць наступнае змяненне вымярэннем, а не здагадкай.

Мітусня вяртання і шлях кіравання

Аднаўленне асноўнага — асобнае рашэнне. Агрэсіўнае вяртанне можа перарваць працу, якая ўжо аднавілася на рэзерве, а дрыжачы шлях можа выглядаць як нестабільны тунэль, калі сапраўдная няспраўнасць — маршрут, які вагаецца паміж двума роўнымі варыянтамі.

Два шляхі аднолькавага кошту без перавагі — звычайная крыніца бачнага дрыжання, бо кожны манітор рэагуе на выбар іншага. Вырашыце, які шлях пераважны ў звычайных умовах, і зрабіце гэтую перавагу яўнай у канфігурацыі, а не пакідайце яе на парадак маршрутаў. Вызначце жаданыя паводзіны вяртання і хто ім валодае, загадзя. Захоўвайце папярэднія налады і незалежны шлях кіравання, бо змяненне, якое пазбаўляе вас уласнага доступу падчас збою, ператварае сеткавы інцыдэнт у выезд на месца.

Затым паўтарыце тую ж нагрузку і параўнайце тыя ж чатыры адзнакі часу. Больш кароткае аднаўленне, якое пакідае праграму ў чаканні таго ж адсутнага маршруту або ўваходу, — не прагрэс, гэта іншы лік на тым жа графіку.