Per què la teva VPN cau cada cop que rotan les claus

La connexió funciona durant una hora i després mor, i el client no informa res més útil que disconnected. Aquest període és la pista, perquè alguna cosa de l’intercanvi de renovació difereix de l’handshake inicial. El temporitzador només decideix quan hi topes. Desa els missatges d’aquell intercanvi en lloc de l’etiqueta final.

Llegeix l’etapa, no l’etiqueta

A l’IKEv2, l’associació IKE i l’associació CHILD es renoven amb calendaris separats. Una proposta que era acceptable per a la primera negociació no és automàticament acceptable per a la segona. Una pot completar-se mentre l’altra es rebutja, cosa que produeix un túnel que existeix a mitges. Captura l’intercanvi amb l’eina que el posseeix en lloc d’una línia del registre del client:

swanctl --list-sas
swanctl --log --level 2
ip xfrm state list

Per a OpenVPN, l’esdeveniment equivalent és una renegociació governada per la versió i els paràmetres de desplegament. El seu comportament d’autenticació té els seus propis modes de fallada. El missatge que importa anomena l’etapa fallida, i l’has de registrar textualment en lloc de parafrasejar-lo en un tiquet.

Anota també les marques de temps. Una caiguda a un interval fix després de l’última negociació correcta és una troballa molt diferent d’una que arriba a l’atzar durant l’ús, i l’interval sovint és l’única evidència que sobreviu.

Compara la proposta que falla

Una proposta rebutjada produeix un missatge clar al respondedor. La causa habitual és una diferència entre els dos extrems en algorisme, llargada de clau, grup o durada. La negociació CHILD inicial pot haver tingut èxit perquè la va iniciar l’altre costat, cosa que vol dir que va fer servir la llista de propostes de l’altre costat. Mira els dos extrems abans de canviar res.

Les discrepàncies de durada mereixen una atenció especial, perquè un valor que semblava generós en un extrem pot fer que l’altre iniciï una renovació que no pot completar. La documentació del comportament de canvi de claus descriu com es dispara la renovació de l’associació i com els dos extrems poden diferir en les seves expectatives de temps. Compara què diu cada extrem que suporta en lloc del que suggereix el fitxer de configuració.

Un perfil antic o una plantilla de proveïdor pot fixar una proposta que la versió actual ja no ofereix. La discrepància només surt quan es força una negociació nova.

Separa un problema de credencials d’un parell inabastable

Una renovació que falla l’autenticació sembla igual al client i completament diferent al servidor. Si una credencial es torna a comprovar a la renegociació, un certificat caducat, un compte revocat o una contrasenya canviada produiran una caiguda exactament a l’interval de renovació mentre totes les connexions anteriors han tingut èxit. Un parell inabastable és la tercera possibilitat, i no produeix cap rebuig: els paquets surten i res no respon. Aquest cas normalment segueix un canvi de xarxa en lloc d’un temporitzador, així que comprova si la fallada ve després d’un roaming, d’un període d’inactivitat o d’un canvi de ruta.

Distingeix els tres casos pel que va registrar l’extrem llunyà. Un rebuig amb motiu, una fallada d’autenticació i el silenci són tres correccions diferents. Reiniciar el client els col·lapsa en una observació inútil.

Comprova les dates del certificat i l’estat del compte abans de culpar la xarxa. Tots dos són barats d’inspeccionar i tots dos són invisibles en el missatge del mateix client.

Força una renovació i llegeix el resultat

Força una renovació amb el mètode suportat per l’operador en lloc d’esperar una hora per la següent. Mantén intacta la política de fallada requerida mentre ho fas. Desactivar la verificació o allargar les durades fins a un dia fa desaparèixer el símptoma dels teus registres sense corregir res. També deixa una interrupció més llarga esperant la propera persona.

Quan la correcció estigui al seu lloc, comprova el túnel renovat i després fes una petició nova des de l’aplicació. Una sessió d’aplicació que era viva quan l’associació va canviar pot necessitar la seva pròpia recuperació tot i que el túnel torna a estar sa. Els usuaris ho reportaran com que la VPN encara està trencada.

Registra les versions de publicació, els temporitzadors negociats i l’etapa que va fallar. La propera recurrència es podrà comparar llavors amb aquesta en lloc de descriure-la de nou de memòria.