VPN se odpojuje ve stejném intervalu? Porovnejte časovač

Tunel, který umírá každých patnáct minut, nebo každou hodinu ve stejnou minutu, vám říká, že vypršel nějaký časovač, a ne že je síť nestabilní. Užitečný krok je zapsat interval a porovnat ho se čtyřmi časovači, které tento vzorec vytvářejí. Změna časových limitů před tímto porovnáním obvykle přesune závadu, aniž by ji vysvětlila, což činí další výskyt hůře čitelným než první. Měření zabere deset minut a nahradí týden hádání.

Přeměňte interval na číslo

Shromážděte pět nebo šest výskytů a spočítejte mezeru mezi nimi, ne mezeru od začátku dne. Odpojení v 09:12, 10:12 a 11:12 je hodinová hranice; odpojení v 09:12, 09:27 a 09:42 je patnáct minut od posledního úspěšného připojení. Výsledek zaokrouhlete na nejbližší pravděpodobný časovač, ne na nejbližší minutu.

Zaznamenejte dva okamžiky pro každou událost: kdy se naposledy pohnul provoz a kdy klient nahlásil odpojení. Ty se liší, když tunel tiše umře a klient si toho všimne až při dalším odeslání, a právě tento rozdíl odděluje časový limit nečinnosti od tvrdé poruchy. Klient, který si všimne pozdě, nafukuje okno nečinnosti, které měříte.

Všimněte si, zda je opětovné připojení automatické. Klient, který se znovu připojí během sekund, drží interval viditelný v logu a mimo uživatelskou zprávu, a proto jsou tyto poruchy často popisovány jako občasné, nikoli periodické. Také skrývá událost před člověkem, který notebook používá.

Čtyři časovače, které vypadají stejně

Téměř každý opakovaný pád tunelu pochází z jednoho z těchto: obnova klíčů protokolu, vypršení nečinného mapování, událost DHCP nebo rozhraní, nebo zásada účtu. Liší se v tom, zda provoz proudil, a v tom, co log na hranici říká.

Níže uvedené podpisy stojí za to se naučit, protože vám umožní zamítnout tři vysvětlení z jediného řádku logu:

První řádek je bezpečnostní mechanismus, který dělá svou práci, a druhý je mezilehlé zařízení, které zapomíná stav. Jejich záměna vede buď k oslabení obnovy, nebo k honbě za pravidlem firewallu, které nikdy nebylo zapojeno.

Zaneprázdněný versus nečinný vám řekne, která polovina

Proveďte řízené srovnání se souvislým provozem, například dlouhým streamem k hostiteli uvnitř tunelu, a sledujte, zda se interval mění. Pokud odpojení zmizí, zatímco data proudí, je časovač založený na nečinnosti.

Pokud přežije souvislý provoz, příčina patří obnově, pronájmu nebo zásadě. Tento jediný test odstraní polovinu kandidátů za přibližně hodinu pozorování a nestojí nic než pozornost.

Během testu udržujte přístupovou síť beze změny. Přepínání mezi Wi-Fi a Ethernetem uprostřed srovnání vnáší právě tu událost rozhraní, kterou se snažíte odlišit od časovače.

Slaďte řádek logu s hranicí

Čtěte klientský a serverový log kolem zaznamenaného okamžiku, ne celý soubor. Obnova ukazuje vyjednávání; vypršení nečinnosti neukazuje nic až do dalšího paketu; změna pronájmu ukazuje práci s adresou; limit zásady obvykle ukazuje čisté administrativní odpojení.

Tyto příkazy vytáhnou příslušné okno z každého zdroje:

grep -iE "reneg|TLS Error|Inactivity" /var/log/openvpn.log | tail -20
journalctl -u NetworkManager --since "-90 min" | grep -iE "dhcp|link"
wg show

Pokud se tři zdroje shodují na časovém razítku, znáte vlastníka časovače. Pokud má něco jen klientský log, server pravděpodobně není ten, kdo ukončuje relaci.

Opravte fázi, ne ikonu

Každý vlastník má jednu podporovanou opravu. Porucha obnovy vyžaduje kompatibilní návrhy na obou koncích. Vypršení nečinnosti vyžaduje keepalive nebo kratší očekávání nečinnosti v mezích toho, co cesta dovoluje. Událost pronájmu vyžaduje řešení nastavení rozhraní nebo napájení. Limit účtu je rozhodnutí zásady, ne chyba.

Vypnutí obnovy nebo ověřování, aby ikona zůstala zelená, vyměňuje viditelné odpojení za neviditelnou slabinu a nechává vás bez možnosti říci, kdy tunel naposledy vyjednal nové klíče. Poté znovu otestujte původní dobu trvání a uchovejte časová razítka, aby se příští událost dala porovnat s touto, místo aby se začínalo znovu.