Zašto Azure OpenVPN tunel pada otprilike svakih šezdeset sekundi

Tunel završi rukovanje, prenosi saobraćaj oko minute, a zatim se ponovo povezuje. Taj slijed isključuje uobičajenog osumnjičenog, jer bi vatrozid koji blokira port zaustavio rukovanje, a ne sesiju. Ono što imate je neslaganje o živosti: jedna strana je odlučila da je druga utihnula i srušila ispravan tunel. Linija u dnevniku kaže koja strana, i ona bira popravku.

Pročitajte tu liniju prije nego što dirnete bilo koji tajmer.

Mit: nešto na putu blokira tunel

Da je port blokiran, veza bi propala na početku i ostala propala. Ciklus koji se ponavlja znači da kontrolne poruke teku, sesije se uspostavljaju, a nešto kasnije u razgovoru stalno ističe. Blokiranje stvara tišinu, a ovo stvara ritam.

Ritam je koristan trag. Tajmeri ga stvaraju; gubitak paketa rijetko.

Pročitajte razlog prekida prije tajmera

OpenVPN imenuje svoj razlog, a svako ime upućuje na drugi podsistem. Session invalidated: KEEPALIVE_TIMEOUT je tajmer koji ističe, pa uporedite vrijednosti ping i ping-restart na oba kraja. AUTH_FAILED su vjerodajnice ili stanje certifikata, i nikakva promjena tajmera neće pomoći. TLS greška znači da strane uopće nisu stigle do faze keepalive.

Zabilježite vrijeme povezivanja, vrijeme prekida i da li je interval stabilan do sekunde. To jedno mjerenje odvaja konfigurirani raspored od slučajnosti.

Stabilan interval je tajmer. Onaj koji plovi vjerovatnije je problem puta ili pomjerena sesija.

Dva keepalive tajmera koja se nikad nisu složila

Profili izvezeni sa portala ponekad još nose keepalive ili ping-restart linije kopirane sa šablona zajedničkog servera. Gejtvej vodi vlastito otkrivanje mrtvog partnera i nameće vlastita očekivanja, a dva rasporeda se ne moraju poklapati. Kada se razilaze, klijent se restartuje po rasporedu s kojim se gejtvej nikad nije složio.

Dvije vrijednosti nisu ista kontrola. ping je koliko često klijent šalje eho, a ping-restart je koliko dugo čeka bez ičega što čuje prije nego što sruši tunel. Profil sa kratkim ping-restart i gejtvej koji odgovara sporo restartovaće se u svakom tihom periodu, što je tačno oblik jednominutnog ciklusa.

Najmanja promjena na strani klijenta je neutralizirati tajmere na najvišem nivou profila, izvan svakog ugrađenog bloka:

keepalive 0 0

Sačuvajte, ponovo učitajte profil, ponovo se povežite. Sesija koja je već u memoriji zadržava stare vrijednosti, zato izmjena ponekad izgleda kao da ništa nije uradila.

Ime certifikata može se pomjeriti pod vama

Azure autentifikacija certifikatom zavisi od toga da klijent vjeruje imenu koje gejtvej predstavlja danas. verify-x509-name linija u starijem preuzimanju može prikovati ime koje su ponovna izgradnja gejtveja ili obnova certifikata od tada promijenili, a nesklad se pojavljuje kao ciklus ponovnog povezivanja, a ne kao jasna greška. Brisanje linije vraća povezanost, što je čini dobrom dijagnostikom i lošom trajnom popravkom, jer uklanja i provjeru. Kada se tunel zadrži, vratite liniju s imenom koje gejtvej zaista predstavlja.

Testirajte drugu generaciju klijenta na istom računaru prije uređivanja gejtveja. Ako jedan klijent kruži a drugi se drži, problem nije u profilu.

Šta promijeniti i kojim redom

Zatim provjerite pomjerenu sesiju. Dva uređaja koja dijele jedan certifikat mogu se međusobno istisnuti, a rezultat izgleda periodično jer obje strane nastavljaju da se ponovo povezuju. Uporedite zapise sesija tačka-na-lokaciju za isti identitet koji se pojavljuje iznova i iznova.

Zatim testirajte mirovanje puta puštajući neprekidan saobraćaj nekoliko minuta. Ako padovi prestanu dok saobraćaj teče, važni tajmer pripada NAT uređaju ili balanseru opterećenja na putu, a ne OpenVPN-u.

Postavke gejtveja treba mijenjati tek nakon ta četiri testa.