VPN прекъсва на един и същ интервал? Съпоставете таймера
Прекъсване на фиксиран интервал е отпечатък. Сравнете подновяването на ключовете на тунела, таймера за бездействие на NAT, наема на DHCP и лимита на акаунта, преди да промените нещо.
Тунел, който умира на всеки петнадесет минути или на всеки час в същата минута, ви казва, че е изтекъл някакъв таймер, а не че мрежата е нестабилна. Полезният ход е да запишете интервала и да го сравните с четирите таймера, които създават този модел. Промяната на таймаутите преди това сравнение обикновено премества повредата, без да я обясни, което прави следващия случай по-труден за четене от първия. Измерването отнема десет минути и заменя седмица на догадки.
Превърнете интервала в число
Съберете пет или шест случая и изчислете разликата между тях, а не разликата от началото на деня. Прекъсване в 09:12, 10:12 и 11:12 е часова граница; прекъсване в 09:12, 09:27 и 09:42 е петнадесет минути от последната успешна връзка. Закръглете резултата до най-близкия правдоподобен таймер, а не до най-близката минута.
Записвайте два момента за всяко събитие: кога трафикът последно е мърдал и кога клиентът е съобщил за прекъсването. Те се различават, когато тунелът умира тихо и клиентът забелязва само при следващото изпращане, и именно тази разлика отделя таймаута за бездействие от твърда повреда. Клиент, който забелязва късно, увеличава прозореца на бездействие, който измервате.
Отбележете дали повторното свързване е автоматично. Клиент, който се свързва отново за секунди, държи интервала видим в журнала и извън доклада на потребителя, затова тези повреди често се описват като случайни, а не като периодични. Той също скрива събитието от човека, който използва лаптопа.
Четири таймера, които си приличат
Почти всяко повтарящо се падане на тунела идва от едно от следните: подновяване на ключовете на протокола, изтичане на бездействащо съпоставяне, събитие на DHCP или интерфейс, или политика на акаунта. Те се различават по това дали е имало трафик и какво казва журналът на границата.
Подписите по-долу си струва да се научат, защото ви позволяват да отхвърлите три обяснения от един ред в журнала:
| Timer | Typical trigger | What the log shows at the boundary |
|---|---|---|
| Protocol rekey | Traffic present, fixed interval | Negotiation lines, sometimes a failure |
| NAT or firewall idle | No traffic for minutes | Silence, then a timeout on send |
| DHCP lease or link change | Half the lease, or a radio event | Address or interface churn |
| Account session limit | Wall-clock hours since login | Clean disconnect, server-side reason |
Първият ред е защитен механизъм, който си върши работата, а вторият е междинен възел, който забравя състояние. Объркването между тях води или до отслабване на подновяването, или до гонене на правило на защитна стена, което никога не е участвало.
Заетост срещу бездействие показва коя половина
Направете контролирано сравнение с непрекъснат трафик, например дълъг поток към хост вътре в тунела, и наблюдавайте дали интервалът се променя. Ако прекъсването изчезне, докато текат данни, таймерът е основан на бездействие.
Ако издържи на непрекъснат трафик, причината е в подновяването, наема или политиката. Този единствен тест премахва половината кандидати за около час наблюдение и не струва нищо освен внимание.
Пазете мрежата за достъп непроменена по време на теста. Превключването между Wi-Fi и Ethernet по средата на сравнението внася точно събитието на интерфейса, което се опитвате да различите от таймер.
Съпоставете реда от журнала с границата
Четете журналите на клиента и сървъра около записания момент, а не целия файл. Подновяването показва договаряне; изтичането на бездействие не показва нищо до следващия пакет; смяната на наема показва работа по адреса; лимитът на политиката обикновено показва чисто административно прекъсване.
Тези команди изваждат съответния прозорец от всеки източник:
grep -iE "reneg|TLS Error|Inactivity" /var/log/openvpn.log | tail -20
journalctl -u NetworkManager --since "-90 min" | grep -iE "dhcp|link"
wg showАко трите източника съвпадат за времевата марка, знаете кой притежава таймера. Ако само журналът на клиента има нещо, сървърът вероятно не е този, който прекратява сесията.
Оправете етапа, а не иконата
Всеки собственик има едно поддържано поправяне. Повреда в подновяването изисква съвместими предложения от двете страни. Изтичане на бездействие изисква сигнал за поддържане на връзката или по-кратко очакване за бездействие, в рамките на това, което пътят позволява. Събитие на наема изисква настройките на интерфейса или захранването. Лимитът на акаунта е решение на политиката, а не грешка.
Изключването на подновяването или удостоверяването, за да остане иконата зелена, заменя видимо прекъсване с невидима слабост и ви оставя без възможност да кажете кога тунелът за последен път е договарял нови ключове. След това тествайте отново първоначалната продължителност и запазете времената, за да може следващото събитие да се сравни с това, вместо да започвате отначало.