Чаму ваш VPN абрываецца кожны раз, калі змяняюцца ключы

Злучэнне працуе гадзіну, а затым гіне, і кліент паведамляе нічога карыснейшага за disconnected. Гэты перыяд — падказка, бо нешта ў абмене абнаўлення адрозніваецца ад пачатковага рукапоціску. Таймер толькі вырашае, калі вы з ім сустрэнецеся. Захавайце паведамленні таго абмену, а не канчатковую метку.

Чытайце этап, а не метку

У IKEv2 асацыяцыя IKE і асацыяцыя CHILD абнаўляюцца па асобных раскладах. Прапанова, якая была прымальнай для першых перамоваў, не аўтаматычна прымальная для другіх. Адна можа завяршыцца, а іншая быць адхілена, што стварае тунэль, які існуе напалову. Захапіце абмен прыладай, якая ім валодае, а не радком журнала кліента:

swanctl --list-sas
swanctl --log --level 2
ip xfrm state list

Для OpenVPN эквівалентная падзея — гэта перапагадненне, якое вызначаецца версіяй і наладамі разгортвання. Яго паводзіны аўтэнтыфікацыі маюць уласныя рэжымы адмовы. Паведамленне, якое мае значэнне, называе няўдалы этап, і вы павінны запісаць яго даслоўна, а не пераказваць у тыкеце.

Запішыце таксама часы. Абрыў на фіксаваным інтэрвале пасля апошніх паспяховых перамоваў — зусім іншая знаходка, чым той, што прыходзіць выпадкова падчас выкарыстання, і інтэрвал часта з'яўляецца адзіным доказам, які выжывае.

Параўнайце прапанову, якая правальваецца

Адхіленая прапанова стварае яснае паведамленне ў адказчыка. Звычайная прычына — розніца паміж двума канцамі ў алгарытме, даўжыні ключа, групе або тэрміне дзеяння. Першапачатковыя перамовы CHILD маглі ўдацца, бо іх ініцыяваў іншы бок, а значыць, выкарыстоўваўся спіс прапаноў іншага боку. Паглядзіце на абодва канцы, перш чым нешта змяняць.

Няўзгодненасць тэрмінаў дзеяння заслугоўвае асобай увагі, бо значэнне, якое выглядала шчодрым на адным канцы, можа прымусіць другі канец пачаць абнаўленне, якое ён не здольны завяршыць. Дакументацыя пра паводзіны пераключэння ключоў апісвае, як запускаецца абнаўленне асацыяцыі і як два канцы могуць адрознівацца ў сваіх часовых чаканнях. Параўнайце, што кожны канец заяўляе як падтрыманае, а не што прапануе файл канфігурацыі.

Стары профіль або шаблон пастаўшчыка можа замацаваць прапанову, якую бягучая версія ўжо не прапануе. Няўзгодненасць выяўляецца толькі тады, калі прымусова задаюць новыя перамовы.

Аддзяліце праблему ўліковых даных ад недасяжнага партнёра

Абнаўленне, якое правальвае аўтэнтыфікацыю, выглядае падобна ў кліенце і цалкам інакш на серверы. Калі ўліковыя даныя пераправяраюцца пры перапагадненні, пратэрмінаваны сертыфікат, адкліканы акаўнт або зменены пароль дадуць абрыў менавіта на інтэрвале абнаўлення, тады як усе папярэднія злучэнні ўдаліся. Недасяжны партнёр — трэцяя магчымасць, і яна не дае адмовы зусім: пакеты сыходзяць, і нішто не адказвае. Гэты выпадак звычайна ідзе за змяненнем сеткі, а не за таймерам, таму праверце, ці ўзнікае збой пасля роўмінгу, перыяду простаю або змены маршруту.

Адрозніце тры па тым, што зафіксаваў далёкі канец. Адмова з прычынай, збой аўтэнтыфікацыі і цішыня — гэта тры розныя выпраўленні. Перазапуск кліента згортвае іх у адно бескарыснае назіранне.

Праверце даты сертыфіката і стан уліковага запісу, перш чым вінаваціць сетку. Абодва танна праверыць, і абодва нябачныя ў паведамленні самога кліента.

Прымусьце адно абнаўленне і прачытайце вынік

Прымусьце адно абнаўленне праз падтрыманы аператарам спосаб, а не чакайце гадзіну наступнага. Захавайце патрэбную палітыку збою нязменнай, пакуль робіце гэта. Адключэнне праверкі або падаўжэнне тэрмінаў да дня прыбірае сімптом з вашых журналаў, нічога не выпраўляючы. Гэта таксама пакідае больш доўгі збой для наступнага чалавека.

Калі выпраўленне на месцы, праверце абноўлены тунэль і затым зрабіце новы запыт з праграмы. Сеанс праграмы, які быў жывы, калі асацыяцыя змянілася, можа патрабаваць уласнага аднаўлення, нават калі тунэль зноў здаровы. Карыстальнікі паведамяць пра гэта як пра VPN, які ўсё яшчэ зламаны.

Запішыце версіі выпуску, узгодненыя таймеры і этап, які праваліўся. Наступнае паўтарэнне тады можна будзе параўнаць з гэтым, а не апісваць зноў па памяці.