Proč se vpnc odpojuje po 24 minutách a co změnit

Váš tunel umírá v opakujícím se intervalu, a to se hlásí časovač, ne špatný kabel. Dvacet čtyři minut je 1440 sekund, druh kulaté hodnoty, kterou nese profil nebo politika centrálního uzlu. Stejná konfigurace pak pokaždé selže proti stejnému koncentrátoru, zatímco každá jiná síť funguje, a žádné testování spoje to nezmění.

Tři podmínky rozhodují, který časovač je váš: zda klient opouští nečinnou relaci, zda je výměna obnovy klíčů odmítnuta a zda překládající brána přepsala zapouzdření.

Který časovač odpojení vlastní

Změřte interval alespoň při třech opakovaných připojeních, než sáhnete na nastavení. Rozptyl několika sekund ukazuje na ztrátu spoje nebo bezdrátový roaming; hodnota, která pokaždé spadne do několika sekund od stejné značky, ukazuje na hodnotu politiky. Délka relace také říká, kdo ji ukončil, protože časový limit na straně klienta a smazání na straně serveru zanechávají v ladicím výstupu různé poslední řádky. Tři opakovaná připojení také odhalí, zda se interval vůbec posouvá, což jedno měření ukázat nedokáže.

Zapište si číslo vedle centrálního uzlu, se kterým jste mluvili. Jakmile je interval stabilní, zbývá vybrat mezi třemi příčinami, a právě jedna změněná volba na jedno připojení je udržuje rozlišitelné.

Případ první: klient opouští nečinnou relaci

vpnc spouští vlastní kontrolu mrtvého protějšku a tato kontrola může zabít relaci, kterou koncentrátor stále považuje za živou, zvláště když mezi nimi stojí překládající brána. Náprava na straně klienta v dokumentaci je vypnout časovač lokálně a nechat centrální uzel rozhodnout, kdy protějšek zmizel. Oba řádky níže patří do profilu vpnc nebo na příkazový řádek a oba jsou nezávislé na nastavení šifrování.

DPD idle timeout (our side) 0
NAT Traversal Mode cisco-udp

Vypnutí klientského DPD odstraní falešný poplach a také odstraní vaše jediné lokální zjištění, takže ho použijte samostatně a sledujte, zda se interval vůbec změní.

Případ druhý: obnova klíčů je odmítnuta

Pokud interval přežije změnu DPD, kandidátem se stane obnova klíčů fáze 1. Starší sestavení vpnc zvládala obnovu méně pečlivě než současná a obvyklou neshodou je skupina Diffie-Hellman. Vynucení skupiny, kterou centrální uzel už přijímá, stojí jeden řádek a jedno připojení, což z něj dělá levný experiment, ne změnu politiky.

IKE DH Group dh5

Platné názvy skupin jsou dh1, dh2 a dh5. Skupina, kterou koncentrátor odmítne, způsobí okamžité selhání, což je stále informace: říká vám, že centrální uzel je vybíravý a původní skupina byla pravděpodobně správná.

Případ třetí: překlad přepisuje zapouzdření

Za překládající bránou nejsou UDP zapouzdření Cisco a režim založený na standardech zaměnitelné. Špatná volba často vytvoří tunel, který se naváže, propustí provoz a pak pod zátěží vyprší, což vypadá jako problém šířky pásma a není. Změňte jen režim, pak se připojte znovu a znovu změřte odpojení. Druhý režim zkuste až poté, co jsou první dva případy vyloučeny.

Frontendy zde přidávají vlastní zmatek. NetworkManager nenabídne typ připojení vpnc, dokud není nainstalován balíček pluginu, a chybějící plugin se projeví jako zešedlé tlačítko Přidat, ne jako chyba. Frontend KDE drží stejné hodnoty ve vlastním profilu, takže ověřte, že démon čte to, co jste upravili.

Profil, který se z příkazového řádku připojí dobře, ale z pracovní plochy ne, je problém frontendu, ne časovače.

Ověřte výměnu, která selže, před třetí změnou

Spusťte klienta s ladicím výstupem a přečtěte si poslední výměnu před odpojením. Smazání fáze 1 těsně před odpojením znamená, že klient obnovil klíče a byl odmítnut. Smazání fáze 2 ve stejném místě znamená, že tunel byl zbourán z druhé strany a nastavení klienta není příčinou.

vpnc --debug 3 office

Zkontrolujte také druhého síťového démona, když tunel přežije, ale provoz se zastaví. Dva správci zapisující směrovací tabulku dávají z pracovní plochy stejný příznak a úplně jiný záznam.