VPN адключаецца праз аднолькавы інтэрвал? Супастаўце таймер
Адключэнне праз фіксаваны інтэрвал — гэта адбітак. Параўнайце перазамову ключоў тунеля, таймер прастою NAT, арэнду DHCP і ліміт уліковага запісу, перш чым нешта змяняць.
Тунель, які падае кожныя пятнаццаць хвілін ці кожную гадзіну ў адну і тую ж хвіліну, кажа вам, што скончыўся нейкі таймер, а не што сетка няўстойлівая. Карысны крок — запісаць інтэрвал і параўнаць яго з чатырма таймерамі, якія даюць гэты ўзор. Змена тайм-аўтаў да такога параўнання звычайна пераносіць збой, не тлумачачы яго, і робіць наступны выпадак цяжэйшым для чытання, чым першы. Вымярэнне займае дзесяць хвілін і замяняе тыдзень здагадак.
Ператварыце інтэрвал у лік
Збярыце пяць або шэсць выпадкаў і вылічыце прамежак паміж імі, а не ад пачатку дня. Збой у 09:12, 10:12 і 11:12 — гэта гадзінная мяжа; збой у 09:12, 09:27 і 09:42 — гэта пятнаццаць хвілін ад апошняга паспяховага злучэння. Акругліце вынік да найбліжэйшага праўдападобнага таймера, а не да найбліжэйшай хвіліны.
Запішыце два моманты на кожную падзею: калі трафік апошні раз рухаўся і калі кліент паведаміў пра адключэнне. Яны розняцца, калі тунель памірае ціха і кліент заўважае гэта толькі пры наступнай адпраўцы, і менавіта гэтая розніца аддзяляе тайм-аўт прастою ад жорсткага збою. Кліент, які заўважае позна, павялічвае акно прастою, якое вы вымяраеце.
Адзначце, ці аўтаматычнае перападлучэнне. Кліент, які перападключаецца за секунды, трымае інтэрвал бачным у журнале і па-за справаздачай карыстальніка, таму такія збоі часта апісваюць як выпадковыя, а не перыядычныя. Ён таксама хавае падзею ад чалавека, які карыстаецца ноўтбукам.
Чатыры таймеры, якія выглядаюць аднолькава
Амаль кожнае паўтаральнае падзенне тунеля паходзіць з аднаго з гэтага: перазамова ключоў пратакола, заканчэнне прастойнага пераадрэсавання, падзея DHCP або інтэрфейса, ці палітыка ўліковага запісу. Яны розняцца тым, ці ішоў трафік, і тым, што журнал кажа на мяжы.
Подпісы ніжэй варта вывучыць, бо яны дазваляюць адхіліць тры тлумачэнні па адным радку журнала:
| Timer | Typical trigger | What the log shows at the boundary |
|---|---|---|
| Protocol rekey | Traffic present, fixed interval | Negotiation lines, sometimes a failure |
| NAT or firewall idle | No traffic for minutes | Silence, then a timeout on send |
| DHCP lease or link change | Half the lease, or a radio event | Address or interface churn |
| Account session limit | Wall-clock hours since login | Clean disconnect, server-side reason |
Першы радок — гэта механізм бяспекі, які робіць сваю працу, а другі — прамежкавы вузел, які забывае стан. Блытаніна паміж імі вядзе альбо да аслаблення перазамовы, альбо да пагоні за правілам баявога экрана, якое ніколі не ўдзельнічала.
Занятасць супраць прастою паказвае вам, якая палова
Праведзіце кантраляванае параўнанне з бесперапынным трафікам, напрыклад доўгі паток да хоста ўнутры тунеля, і сачыце, ці змяняецца інтэрвал. Калі збой знікае, пакуль ідуць даныя, таймер заснаваны на прастоі.
Калі ён вытрымлівае бесперапынны трафік, прычына адносіцца да перазамовы, арэнды або палітыкі. Гэты адзіны тэст прыбірае палову кандыдатаў прыкладна за гадзіну назірання, і каштуе нічога, акрамя ўвагі.
Трымайце сетку доступу нязменнай падчас тэсту. Пераключэнне паміж Wi-Fi і Ethernet пасярэдзіне параўнання ўносіць менавіта тую падзею інтэрфейса, ад якой вы спрабуеце адрозніць таймер.
Супастаўце радок журнала з мяжой
Чытайце журналы кліента і сервера вакол зафіксаванага моманту, а не ўвесь файл. Перазамова паказвае перамовы; заканчэнне прастою не паказвае нічога да наступнага пакета; змена арэнды паказвае працу з адрасам; ліміт палітыкі звычайна паказвае чыстае адміністрацыйнае адключэнне.
Гэтыя каманды выцягваюць адпаведнае акно з кожнай крыніцы:
grep -iE "reneg|TLS Error|Inactivity" /var/log/openvpn.log | tail -20
journalctl -u NetworkManager --since "-90 min" | grep -iE "dhcp|link"
wg showКалі тры крыніцы згаджаюцца адносна часу, вы ведаеце ўладальніка таймера. Калі нешта ёсць толькі ў журнале кліента, сервер, верагодна, не той, хто завяршае сеанс.
Выпраўце этап, а не значок
Кожны ўладальнік мае адзін падтрыманы рамонт. Збой перазамовы патрабуе сумяшчальных прапаноў з абодвух бакоў. Заканчэнне прастою патрабуе сигналу падтрымання або карацейшага чакання прастою, у межах таго, што дазваляе шлях. Падзея арэнды патрабуе выпраўлення налад інтэрфейса або сілкавання. Ліміт уліковага запісу — гэта рашэнне палітыкі, а не памылка.
Адключэнне перазамовы або аўтэнтыфікацыі, каб значок заставаўся зялёным, абменьвае бачны збой на нябачную слабасць і пакідае вас без магчымасці сказаць, калі тунель апошні раз дамаўляўся пра новыя ключы. Пасля гэтага паўтарыце тэст зыходнай працягласці і захавайце часы, каб наступную падзею можна было параўнаць з гэтай, а не пачынаць спачатку.