Per què vpnc desconnecta als 24 minuts i què cal canviar

El teu túnel mor amb un interval repetible, i això és un temporitzador que es delata, no un cable dolent. Vint-i-quatre minuts són 1440 segons, la mena de valor rodó que porta un perfil o una política del head-end. Llavors la mateixa configuració falla contra el mateix concentrador cada vegada mentre tota altra xarxa funciona, i cap prova d'enllaç ho canvia.

Tres condicions decideixen quin temporitzador és el teu: si el client abandona una sessió inactiva, si es refusa l'intercanvi de renovació de claus i si una passarel·la de traducció ha reescrit l'encapsulament.

Quin temporitzador és l'amo de la caiguda

Mesura l'interval al llarg d'almenys tres reconnexions abans de tocar cap paràmetre. Una dispersió de segons apunta a pèrdua d'enllaç o a una itinerància sense fil; un valor que cau cada vegada dins d'uns segons de la mateixa marca apunta a un valor de política. La durada de la sessió també diu qui la va acabar, perquè un temps d'espera del costat del client i una eliminació del costat del servidor deixen línies finals diferents a la sortida de depuració. Tres reconnexions també revelen si l'interval deriva, cosa que una sola mesura no pot mostrar.

Anota el número al costat del head-end amb qui parlaves. Un cop l'interval és estable, la feina que queda és triar entre tres causes, i canviar un sol paràmetre per reconnexió és el que les manté distingibles.

Cas u: el client abandona una sessió inactiva

vpnc fa la seva pròpia comprovació de parell mort, i aquesta comprovació pot matar una sessió que el concentrador encara creu viva, sobretot quan entre tots dos hi ha una passarel·la de traducció. El remei del costat del client a la documentació és apagar el temporitzador localment i deixar que el head-end decideixi quan un parell ha desaparegut. Les dues línies de sota van al perfil de vpnc o a la línia d'ordres, i totes dues són independents dels paràmetres de xifrat.

DPD idle timeout (our side) 0
NAT Traversal Mode cisco-udp

Desactivar el DPD del client elimina un fals positiu i també elimina la teva única detecció local, així que aplica-ho sol i mira si l'interval canvia gens.

Cas dos: es refusa la renovació de claus

Si l'interval sobreviu al canvi de DPD, la renovació de claus de la fase 1 passa a ser la candidata. Les versions antigues de vpnc tractaven la renovació amb menys cura que les actuals, i el grup Diffie-Hellman és la discrepància habitual. Forçar un grup que el head-end ja accepta costa una línia i una reconnexió, cosa que el converteix en un experiment barat i no en un canvi de política.

IKE DH Group dh5

Els noms de grup vàlids són dh1, dh2 i dh5. Un grup que el concentrador rebutja produeix un fracàs immediat, que encara és informació: et diu que el head-end és exigent i que el grup original probablement era correcte.

Cas tres: la traducció reescriu l'encapsulament

Darrere d'una passarel·la de traducció, l'encapsulament UDP de Cisco i el mode basat en estàndards no són intercanviables. L'elecció equivocada sovint produeix un túnel que s'estableix, passa trànsit i després expira sota càrrega, cosa que es llegeix com un problema d'amplada de banda i no ho és. Canvia només el mode, reconnecta i torna a cronometrar la caiguda. Prova l'altre mode només després de descartar els dos primers casos.

Les interfícies afegeixen la seva pròpia confusió aquí. NetworkManager no oferirà un tipus de connexió vpnc fins que el paquet del connector estigui instal·lat, i un connector absent apareix com un botó Afegeix en gris en lloc d'un error. La interfície de KDE guarda els mateixos valors en un perfil propi, així que confirma que el dimoni llegeix el que has editat.

Un perfil que es connecta bé des de la línia d'ordres però no des de l'escriptori és un problema d'interfície, no un problema de temporitzador.

Verifica l'intercanvi que falla abans del tercer canvi

Executa el client amb sortida de depuració i llegeix l'últim intercanvi abans de la caiguda. Una eliminació de fase 1 just abans de la desconnexió significa que el client va renovar les claus i li van refusar. Una eliminació de fase 2 al mateix punt significa que el túnel es va desmuntar des de l'altre costat, i els paràmetres del client no són la causa.

vpnc --debug 3 office

Comprova també si hi ha un segon dimoni de xarxa quan el túnel sobreviu però el trànsit s'atura. Dos gestors que escriuen la taula d'encaminament produeixen el mateix símptoma des de l'escriptori i un registre completament diferent.