Скъсяването на таймера DPD няма да ускори превключването на VPN

Тунелите падат, възстановяването отнема деветдесет секунди, а таймерът за мъртъв партньор е зададен на десет, затова таймерът е обвинен. Това разсъждение пропуска три етапа, които се случват след откриването и обикновено отнемат по-голямата част от времето. Откриването на живост забелязва тишината; след това изборът на партньор, удостоверяването, инсталирането на маршрут и повторното свързване на приложението поемат своя ред. Скъсяването на първия етап не може да скъси останалите и може да добави разклащане към система, която вече се бори.

Четири етапа, един от които можете да измерите

Запишете възстановяването като четири събития с времеви маркери. Повредата става наблюдаема: последният полезен защитен трафик и първата неуспешна заявка. Отговорният механизъм реагира: откриване на живост, монитор на маршрут или друг документиран тригер. Алтернативата става използваема: избор на партньор, удостоверяване, нова асоциация и маршрут, който действително носи желания трафик. Приложението се възстановява: нова операция успява и това, което е било в ход, получава определен резултат.

Правилата за живост на IKEv2 описват доказателства за партньора и неговите обмени и не казват нищо за база данни или файлова услуга зад този партньор. Четенето на изтичане на живостта като проверка на целия път е грешката, която започва лова на таймера.

Защо таймерът е най-малко интересното число

Конфигурираните стойности не са взаимозаменяеми единици. Някои са интервали за повторение, някои са горни граници за опит, а други работят едновременно с останалите. Събирането им дава число, което изглежда като прогноза и се държи като слух. Прочетете документацията за полето, което ще пипате, и отбележете кой от трите вида е.

Други етапи изобщо не са таймери. Забавяне при повторно свързване, интерактивна заявка за удостоверяване или клиент, който преоценява конфигурацията си само при рестарт, могат всеки да доминира прекъсването, докато всеки протоколен таймер стои удобно ниско.

Измерете етапа, който наистина е бавен

Уловете повредата веднъж, с времеви маркери от двете страни, след което сравнете четирите събития, а не собствените броячи на протокола. Един правилно направен прозорец за наблюдение е по-добър от месец настройка.

ip -4 route get 203.0.113.10
tcpdump -ni any -c 20 "esp or icmp"

Ако алтернативната крайна точка никога не отговаря, никаква промяна на таймера не помага, защото недостижимостта не е проблем на откриването. Ако ново състояние на сигурност се формира бързо, но маршрутът все още сочи към мъртвия път, проблемът е в инсталирането на маршрута и още една корекция на живостта само добавя разклащане.

Алтернативата трябва вече да е използваема

Резерва, дефиниран в конфигурация, не е резерва, който работи. Той трябва да е достъпен от текущата мрежа на клиента, да може да удостовери същата самоличност и да му е позволено да носи същия трафик при същата политика. Откриете ли някоя от тези три липси по време на прекъсване, разговорът за таймера става неуместен. Тествайте алтернативата, докато основната е здрава, защото това е единственото време, в което можете да четете двата журнала един до друг.

Осигурете алтернативата предварително, тествайте я умишлено, докато основната е здрава, и запишете кой от четирите етапа отнема времето. Този запис прави следващата промяна измерване, а не догадка.

Разклащане при връщане и пътят за управление

Възстановяването на основната е отделно решение. Агресивното връщане може да прекъсне работа, която вече се е възстановила на резервата, а трептящ път може да изглежда като нестабилен тунел, когато истинската повреда е маршрут, който трепти между две равни опции.

Два пътя с еднаква цена без предпочитание са обичайният източник на видимо трептене, защото всеки монитор реагира на избора на другия. Решете кой път е предпочитан при нормални условия и направете това предпочитание явно в конфигурацията, вместо да го оставяте на подредбата на маршрутите. Определете желаното поведение при връщане и кой го притежава, предварително. Пазете предишните настройки и независим път за управление, защото промяна, която отнема собствения ви достъп по време на прекъсване, превръща мрежов инцидент в посещение на място.

След това повторете същото натоварване и сравнете същите четири времеви маркера. По-кратко възстановяване, което все още оставя приложението да чака същия липсващ маршрут или вход, не е напредък, а различно число на същата графика.