Защо вашият VPN пада всеки път, когато се сменят ключовете

Връзката работи един час и след това умира, а клиентът не съобщава нищо по-полезно от disconnected. Този период е уликата, защото нещо в обмена за подновяване се различава от първоначалния ръкостиск. Таймерът само решава кога ще се срещнете с него. Запазете съобщенията от този обмен, а не крайния етикет.

Четете етапа, а не етикета

В IKEv2 асоциацията IKE и асоциацията CHILD се подновяват по отделни графици. Предложение, което е било приемливо за първото договаряне, не е автоматично приемливо за второто. Едното може да завърши, докато другото бъде отхвърлено, което създава тунел, който съществува наполовина. Запишете обмена с инструмента, който го притежава, а не с ред от клиентския журнал:

swanctl --list-sas
swanctl --log --level 2
ip xfrm state list

За OpenVPN еквивалентното събитие е предоговаряне, управлявано от версията и настройките за внедряване. Поведението му при удостоверяване има собствени режими на отказ. Съобщението, което има значение, назовава неуспешния етап и трябва да го запишете дословно, вместо да го перифразирате в тикет.

Запишете и времената. Прекъсване на фиксиран интервал след последното успешно договаряне е много различна находка от такова, което идва случайно по време на употреба, и интервалът често е единственото доказателство, което оцелява.

Сравнете предложението, което се проваля

Отхвърленото предложение поражда ясно съобщение при отговарящата страна. Обичайната причина е разлика между двата края в алгоритъм, дължина на ключа, група или срок. Първоначалното договаряне CHILD може да е успяло, защото е било инициирано от другата страна, което означава, че е използвало списъка с предложения на другата страна. Погледнете двата края, преди да промените нещо.

Несъответствията в срока заслужават специално внимание, защото стойност, която изглежда щедра в единия край, може да накара другия край да започне подновяване, което не може да завърши. Документацията за поведението при смяна на ключове описва как се задейства подновяването на асоциацията и как двата края могат да се различават в очакванията си за време. Сравнете какво всеки край твърди, че поддържа, а не какво предполага конфигурационният файл.

Стар профил или шаблон на доставчик може да фиксира предложение, което текущото издание вече не предлага. Несъответствието се проявява само когато се наложи ново договаряне.

Отделете проблем с идентификационни данни от недостъпен партньор

Подновяване, което се проваля при удостоверяване, изглежда подобно в клиента и напълно различно на сървъра. Ако идентификационните данни се проверяват отново при предоговарянето, изтекъл сертификат, отменен акаунт или променена парола ще предизвикат прекъсване точно на интервала на подновяване, докато всички предишни връзки са успели. Недостъпният партньор е третата възможност и не поражда никакво отхвърляне: пакетите излизат и нищо не отговаря. Този случай обикновено следва промяна в мрежата, а не таймер, затова проверете дали отказът следва роуминг, период на бездействие или промяна на маршрута.

Разграничете трите по това, което е записал далечният край. Отхвърляне с причина, отказ при удостоверяване и мълчание са три различни поправки. Рестартирането на клиента ги свива в едно безполезно наблюдение.

Проверете датите на сертификата и състоянието на акаунта, преди да обвинявате мрежата. И двете са евтини за проверка и двете са невидими в собственото съобщение на клиента.

Насилете едно подновяване и прочетете резултата

Насилете едно подновяване чрез поддържания от оператора метод, вместо да чакате час за следващото. Запазете изискваната политика за отказ непокътната, докато го правите. Изключването на проверката или удължаването на сроковете до един ден кара симптома да изчезне от журналите ви, без да поправи нищо. Освен това оставя по-дълго прекъсване за следващия човек.

След като поправката е на място, проверете подновения тунел и след това направете нова заявка от приложението. Сесия на приложението, която е била жива, когато асоциацията се е променила, може да се нуждае от собствено възстановяване, дори тунелът отново да е здрав. Потребителите ще съобщят това като VPN, който все още е счупен.

Запишете версиите на изданието, договорените таймери и етапа, който се провали. Следващото повторение тогава може да се сравни с това, вместо да се описва отново по памет.