Zašto vpnc prekida vezu nakon 24 minute i šta promijeniti

Vaš tunel umire u ponavljajućem intervalu, a to je tajmer koji se sam javlja, a ne loš kabl. Dvadeset četiri minute su 1440 sekundi, okrugla vrijednost kakvu nosi profil ili politika centralnog čvora. Ista konfiguracija zatim svaki put pada prema istom koncentratoru dok svaka druga mreža radi, i nikakvo testiranje veze to ne mijenja.

Tri uslova određuju koji je tajmer vaš: da li klijent odustaje od neaktivne sesije, da li je obnova ključeva odbijena i da li je prevodeći gateway prepisao enkapsulaciju.

Koji tajmer posjeduje prekid

Izmjerite interval kroz najmanje tri ponovna povezivanja prije nego što dirnete postavku. Raspon od nekoliko sekundi ukazuje na gubitak veze ili bežični roaming; vrijednost koja svaki put padne u nekoliko sekundi od iste oznake ukazuje na vrijednost politike. Dužina sesije takođe govori ko ju je završio, jer klijentski tajmaut i serversko brisanje ostavljaju različite završne redove u debug izlazu. Tri ponovna povezivanja takođe otkrivaju da li interval uopšte odstupa, što jedno mjerenje ne može pokazati.

Zapišite broj pored centralnog čvora s kojim ste razgovarali. Kada se interval stabilizuje, preostaje izbor između tri uzroka, a jedna promijenjena postavka po ponovnom povezivanju je ono što ih održava razlučivim.

Prvi slučaj: klijent napušta neaktivnu sesiju

vpnc pokreće vlastitu provjeru mrtvog partnera, a ta provjera može ubiti sesiju koju koncentrator još smatra živom, posebno kada između njih stoji prevodeći gateway. Klijentsko rješenje u dokumentaciji je isključiti tajmer lokalno i pustiti centralni čvor da odluči kada je partner otišao. Oba reda ispod pripadaju u vpnc profil ili na komandnu liniju, i oba su nezavisna od postavki šifrovanja.

DPD idle timeout (our side) 0
NAT Traversal Mode cisco-udp

Isključivanje klijentskog DPD-a uklanja lažni alarm i takođe uklanja vaše jedino lokalno otkrivanje, pa ga primijenite samo i gledajte da li se interval uopšte mijenja.

Drugi slučaj: obnova ključeva je odbijena

Ako interval preživi promjenu DPD-a, obnova ključeva faze 1 postaje kandidat. Starije vpnc verzije bavile su se obnovom manje pažljivo od sadašnjih, a uobičajeno neslaganje je Diffie-Hellman grupa. Forsiranje grupe koju centralni čvor već prihvata košta jedan red i jedno ponovno povezivanje, što ga čini jeftinim eksperimentom, a ne promjenom politike.

IKE DH Group dh5

Važeća imena grupa su dh1, dh2 i dh5. Grupa koju koncentrator odbije daje trenutni neuspjeh, što je i dalje informacija: govori vam da je centralni čvor izbirljiv i da je originalna grupa vjerovatno bila ispravna.

Treći slučaj: prevođenje prepisuje enkapsulaciju

Iza prevodećeg gatewaya, Cisco UDP enkapsulacija i standardizovani režim nisu zamjenjivi. Pogrešan izbor često daje tunel koji se uspostavi, propusti saobraćaj i zatim istekne pod opterećenjem, što se čita kao problem propusnosti i nije. Promijenite samo režim, pa se ponovo povežite i ponovo mjerite prekid. Isprobajte drugi režim tek nakon što su prva dva slučaja isključena.

Frontendovi ovdje dodaju svoju zbrku. NetworkManager neće ponuditi vpnc tip veze dok se paket dodatka ne instalira, a nedostajući dodatak se pojavljuje kao zasivljeno dugme Dodaj, a ne kao greška. KDE frontend drži iste vrijednosti u vlastitom profilu, pa provjerite da daemon čita ono što ste uredili.

Profil koji se dobro povezuje s komandne linije ali ne s radne površine je problem frontenda, a ne tajmera.

Provjerite razmjenu koja pada prije treće promjene

Pokrenite klijent s debug izlazom i pročitajte posljednju razmjenu prije prekida. Brisanje faze 1 neposredno prije prekida znači da je klijent obnovio ključeve i da je odbijen. Brisanje faze 2 na istom mjestu znači da je tunel razmontiran s druge strane i da vaše klijentske postavke nisu uzrok.

vpnc --debug 3 office

Takođe provjerite ima li drugi mrežni daemon kada tunel preživi ali saobraćaj stane. Dva menadžera koji pišu tabelu rutiranja daju isti simptom s radne površine i potpuno drugačiji dnevnik.