SSH yn disgyn ar y VPN bob munud? Nid y keepalive yw'r bai

Mae SSH yn cysylltu, yn gweithio am ryw funud, ac yna'n rhewi ar gyfnod tebyg iawn bob tro. Yr esboniad cyffredin yw amser segur, felly mae pobl yn gostwng yr MTU ac yn gosod keepalives y cleient. Roedd cyswllt WireGuard y bûm yn gweithio arno eisoes wedi mynd trwy'r cyfan: MTU twmnel llai, gosodiadau client-alive, keepalive twmnel wedi'i ffurfweddu. Parhaodd y disgyniadau yn ddigyfnewid. Yr achos oedd llwybr LAN anghymesur, ac mae'r patrwm yn werth ei adnabod oherwydd ei fod yn trechu pob trwsio sy'n seiliedig ar amseryddion.

Mae keepalive yn profi bod eich gwesteiwr yn dal yn barod i anfon. Ni all wneud i ddyfais sy'n cadw cyflwr weld ateb nad yw byth yn croesi drwyddi.

Y myth: mae keepalives yn trwsio disgyniad tawel

Mae keepalives SSH yn bodoli ar gyfer un dasg: atal rhywbeth sy'n cyfrif tawelwch rhag clirio sesiwn segur. Maen nhw'n gwneud hynny'n dda. Nid ydynt yn mynd i'r afael â dyfais sy'n cadw cyflwr a welodd y pecyn cyntaf i un cyfeiriad ac yna na welodd yr ateb byth, oherwydd nid oes unrhyw beth mae'r cleient yn ei anfon yn newid pa ryngwyneb mae'r ateb yn ei ddefnyddio.

Newid MTU yw'r trwsio poblogaidd arall, ac mae ganddo'r un dull methu. Mae lleihau'r MTU yn helpu darnio a phroblemau MTU llwybr, ac nid yw'n gwneud dim i lwybr. Os yw eich amseryddion a'ch MTU eisoes yn synhwyrol a'r disgyniad yn dal ar gyfnod ailadroddus, mae'r cyfnod yn dweud wrthych am amser terfyn yn rhywle, nid am faint y pecyn. Nodwch y cyfnod a'i gymharu ag amserau terfyn cyflwr ar bob dyfais yn y llwybr.

Yr arwydd yw rheoleiddiwch ynghyd â sesiwn sy'n parhau'n ddefnyddiadwy o fewn y cyfnod hwnnw. Mae amserau segur yn taro pan nad oes dim yn digwydd; mae hwn yn taro wrth i chi deipio.

Beth mae'r porthydd ychwanegol yn ei wneud mewn gwirionedd

Rhowch y gliniadur a'r porthydd VPN ar yr un LAN, gyda wal dân LAN ar wahân fel y porthydd diofyn. Mae'r gliniadur yn anfon traffig tuag at y VPN i'r wal dân, mae'r wal dân yn ei anfon ymlaen i'r porthydd, ac mae atebion y porthydd yn dychwelyd yn syth ar draws y LAN at y gliniadur. Nid yw'r ail goes honno byth yn mynd trwy'r wal dân, felly mae ei dabl cyflwr yn dal hanner cysylltiad.

Mae'r cyfeiriadau isod yn adlewyrchu'r trefniant hwnnw:

Laptop:             192.168.50.20
LAN firewall:       192.168.50.1
WireGuard gateway:  192.168.50.10
Remote VPN subnet:  10.77.0.0/24

Yna mae ailgyfeirio a thrin cyflwr yn troi handshake sy'n gweithio yn gysylltiad sy'n marw'n ddiweddarach yn hytrach nag yn syth. Yr oedi yw'r cofnod cyflwr yn heneiddio neu wiriad llymach yn methu, a dyna pam mae'r cyfnod yn edrych mor fecanyddol.

Nid oes dim o hyn yn ymddangos yng nghyfluniad y cleient, a dyna pam mae'r chwilio amdano fel arfer yn dechrau yn y ffeil anghywir.

Dewiswch un llwybr bwriadol

Ar gyfer y trefniant uchod, mae llwybro'r is-rwydwaith anghysbell yn syth at y porthydd VPN yn dileu'r hanner cysylltiad:

sudo ip route add 10.77.0.0/24 via 192.168.50.10
ip route get 10.77.0.42

Cyfeiriadau enghreifftiol yw'r rhain. Rhaid i'r naid nesaf fod yn gyrhaeddadwy ar eich LAN, rhaid i'r rhagddodiad fod y rhwydwaith anghysbell a fwriadwyd, ac mae'r ail orchymyn yn dangos y canlyniad cyn i chi ddibynnu arno. Os nad yw'r porthydd ar eich is-rwydwaith, nid y llwybr hwn yw'r trwsio rydych ei eisiau.

Os yw'r wal dân i fod i blismona traffig rhwng y systemau hynny, mae llwybro o'i chwmpas yn gynllun anghywir. Yn lle hynny, gwnewch i'r ddau gyfeiriad groesi'r ffin, a ffurfweddwch y llwybrau ar bob ochr fel bod y llwybr dychwelyd yn cyfateb. Y nod yw un llwybr bwriadol, nid llai o wirio cyflwr.

Mae nodiadau ar lwybro anghymesur Netgate yn disgrifio'r un anghymesuredd ar lefel rhyngwyneb a'r problemau cyflwr mae'n eu creu, felly darllenwch nhw cyn llacio trin cyflwr yn fyd-eang. Nid yw datgysylltiadau amserol tebyg i'r achos hwn yn dystiolaeth ynddynt eu hunain. Triniwch yr erthygl fel disgrifiad o un dull methu, yna profwch fod eich rhwydwaith eich hun yn cyfateb iddo cyn newid polisi cyflwr byd-eang.

Profwch o'r ddau ben

Darllenwch lwybr y gliniadur tuag at y cyrchfan a llwybr y cyrchfan yn ôl tuag at y gliniadur; dau benderfyniad ar wahân yw'r rhain a dim ond un ohonynt sy'n debygol o fod yn anghywir. Gall ping sy'n llwyddo o'r porthydd ei hun guddio'r broblem yn gyfan gwbl, oherwydd mae'n tarddu ar y peiriant y mae ei lwybr eisoes yn gywir. Mae arnoch angen y ddau gyfeiriad fel y mae dau ben y sesiwn wirioneddol yn eu gweld.

Ar ôl y trwsio, ailagorwch SSH a chadwch y sesiwn ar agor ymhell y tu hwnt i'r cyfnod a fyddai'n methu o'r blaen. Yna gwnewch y llwybr yn barhaol yn y cyfluniad rhwydwaith cymeradwy, oherwydd nid yw gorchymyn un-tro yn gynllun ailgychwyn a bydd y broblem yn dychwelyd ar yr ailgychwyn nesaf gyda dirgelwch newydd.

Pryd mae anghymesuredd yn iawn

Mae llwybro anghymesur yn normal mewn llawer o rwydweithiau ac nid yw'n doredig yn ôl diffiniad. Mae'n dod yn broblem pan fydd olrhain cyflwr, cyfieithu neu bolisi yn dibynnu ar weld llwybr nad yw'n ei weld, ac mae gan bob un o'r rheini welliant gwahanol. Gwiriwch beth mae'r ddyfais ganol yn ei olygu mewn gwirionedd cyn ailddylunio o'i chwmpas.

Mae'r ateb gwydn yn enwi'r ddau lwybr, y ddyfais sydd angen gweld y ddau, a'r llwybr sy'n gwneud hynny'n bosibl. Os na allwch enwi'r ddyfais, nid ydych wedi dod o hyd i'r achos eto.