Чаму vpnc разрывае злучэнне праз 24 хвіліны і што змяніць

Ваш тунель абрываецца праз аднолькавы інтэрвал, і гэта таймер паведамляе пра сябе, а не благі кабель. Дваццаць чатыры хвіліны — гэта 1440 секунд, тыповае круглае значэнне, якое нясе профіль або палітыка галаўнога вузла. Затым тая ж канфігурацыя кожны раз не спраўляецца з тым жа канцэнтратарам, пакуль працуюць усе іншыя сеткі, і ніякае тэставанне канала гэтага не мяняе.

Тры ўмовы вызначаюць, які таймер ваш: ці кліент адмаўляецца ад прастойваючай сесіі, ці адхіляецца абмен перазапыту ключоў і ці перапісала транслюючы шлюз інкапсуляцыю.

Які таймер валодае разрывам

Вымерайце інтэрвал як мінімум на трох перапаключэннях, перш чым чапаць наладу. Разбег у некалькі секунд паказвае на страту канала або бесправодны роўмінг; значэнне, якое кожны раз трапляе ў некалькі секунд ад той жа адзнакі, паказвае на значэнне палітыкі. Даўжыня сесіі таксама кажа, хто яе скончыў, бо тайм-аўт на баку кліента і выдаленне на баку сервера пакідаюць розныя апошнія радкі ў вывадзе адладкі. Тры перапаключэнні таксама паказваюць, ці дрэйфуе інтэрвал наогул, чаго адно вымярэнне паказаць не можа.

Запішыце лік побач з галаўным вузлом, з якім вы размаўлялі. Калі інтэрвал стабільны, застаецца выбраць паміж трыма прычынамі, і менавіта адна змененая налада на кожнае перапаключэнне дазваляе іх адрозніць.

Выпадак першы: кліент адмаўляецца ад прастойваючай сесіі

vpnc выконвае ўласную праверку мёртвага партнёра, і гэтая праверка можа забіць сесію, якую канцэнтратар яшчэ лічыць жывой, асабліва калі паміж імі стаіць транслюючы шлюз. Сродкам на баку кліента ў дакументацыі з'яўляецца выключэнне таймера лакальна і перадача рашэння галаўному вузлу, калі партнёр знік. Абодва радкі ніжэй належаць у профіль vpnc або ў камандны радок, і абодва не залежаць ад налад шыфравання.

DPD idle timeout (our side) 0
NAT Traversal Mode cisco-udp

Выключэнне кліенцкага DPD прыбірае ілжывае спрацоўванне і адначасова прыбірае ваша адзінае лакальнае выяўленне, таму ўжывайце яго асобна і назірайце, ці зменіцца інтэрвал наогул.

Выпадак другі: перазапыт ключоў адхілены

Калі інтэрвал перажыў змену DPD, кандыдатам становіцца перазапыт ключоў фазы 1. Старыя зборкі vpnc апрацоўвалі перазапыт менш асцярожна, чым сучасныя, і звычайнай разыходнасцю з'яўляецца група Diffie-Hellman. Прымус да групы, якую галаўны вузел ужо прымае, каштуе адзін радок і адно перапаключэнне, што робіць гэта танным эксперыментам, а не зменай палітыкі.

IKE DH Group dh5

Дапушчальныя назвы груп — dh1, dh2 і dh5. Група, якую канцэнтратар адхіляе, дае неадкладны збой, і гэта ўсё яшчэ інфармацыя: яна кажа, што галаўны вузел пераборлівы і першапачатковая група, верагодна, была правільнай.

Выпадак трэці: трансляцыя перапісвае інкапсуляцыю

За транслюючым шлюзам UDP-інкапсуляцыя Cisco і рэжым на аснове стандартаў не ўзаемазаменныя. Няправільны выбар часта дае тунель, які ўсталёўваецца, прапускае трафік і потым сканчаецца па тайм-аўце пад нагрузкай, што выглядае як праблема прапускной здольнасці і ёй не з'яўляецца. Змяніце толькі рэжым, затым перападключыцеся і зноў замерыце разрыў. Паспрабуйце іншы рэжым толькі пасля выключэння першых двух выпадкаў.

Франтэнды дадаюць тут сваёй блытаніны. NetworkManager не прапануе тып злучэння vpnc, пакуль не ўсталяваны пакет плагіна, а адсутны плагін выглядае як шэрая кнопка «Дадаць», а не як памылка. Франтэнд KDE захоўвае тыя ж значэнні ва ўласным профілі, таму пацвердзіце, што дэман чытае тое, што вы адрэдагавалі.

Профіль, які добра злучаецца з каманднага радка, але не з працоўнага стала, — гэта праблема франтэнда, а не таймера.

Праверце абмен, які збоіць, перад трэцяй зменай

Запусціце кліент з вывадам адладкі і прачытайце апошні абмен перад разрывам. Выдаленне фазы 1 непасрэдна перад адключэннем азначае, што кліент перазапытаў ключы і яму адмовілі. Выдаленне фазы 2 у тым жа месцы азначае, што тунель быў разабраны з іншага боку, і вашы налады кліента не прычына.

vpnc --debug 3 office

Таксама праверце наяўнасць другога сеткавага дэмана, калі тунель жыве, а трафік спыняецца. Два менеджэры, якія пішуць табліцу маршрутызацыі, даюць той жа сімптом з працоўнага стала і цалкам іншы журнал.