Mae VPN dros UDP yn oedi pan fo'n segur: anghofiodd y mur tân eich llif

Mae'r VPN yn cysylltu, yn gweithio am gyfnod, ac yna'n stopio trosglwyddo traffig tra mae'r cleient yn dal i ddangos sesiwn. Mae ailgysylltu'n trwsio hyn, sy'n gwneud iddo edrych fel nam yn y cleient. Fel arfer, mur tân neu ddyfais NAT sydd wedi gollwng mapiad UDP segur ac nad oes ganddo syniad bod y twnnel yn dal i fodoli.

Mae'r symptom yn ddigon cyson i'w ddiagnosio: mae'n ymddangos ar ôl segurdod, nid o dan lwyth.

Sut mae oedi segur yn edrych

Mesurwch ef yn lle ei ddisgrifio. Nodwch pa mor hir mae'r twnnel yn eistedd yn segur cyn i'r traffig stopio, a yw pecyn allan newydd yn ei adfywio, ac a yw rhyngwyneb y cleient yn dal ei gyfeiriad. Os yw cais newydd o'r cleient yn gweithio ond nad yw ateb i lif sy'n bodoli yn gweithio, y mapiad yw'r drwgdybiaeth. Os nad oes unrhyw beth yn gweithio nes i chi ailgysylltu, mae cyflwr sesiwn y cleient wedi mynd hefyd.

Mae'r ddau yn gysylltiedig â segurdod, ac maent angen trwsiadau gwahanol.

Ysgrifennwch yr amseroedd i lawr cyn newid unrhyw beth. Mae adroddiad ei fod yn stopio ar ôl tua deg munud segur yn brofadwy, tra nad yw adroddiad ei fod yn disgyn ar hap. Mae'r gwahaniaeth hwnnw'n penderfynu a ydych yn hela amserydd ynteu newid llwybro.

Dewch o hyd i'r ddyfais a anghofiodd

Gall sawl dyfais ddal cyflwr ar gyfer yr un llif: y llwybrydd lleol, cyfieithydd i fyny'r afon, ffin cwmwl a mur tân y gwesteiwr. Mae gan bob un ei amserydd ei hun, a'r byrraf sy'n ennill. Mae ymyriad o bum munud fel arfer yn golygu bod un ddyfais wedi'i ffurfweddu'n llawer is na'r lleill.

Peidiwch â chymryd yn ganiataol mai'r rhagosodiad dogfennol yw'r terfyn amser ar eich llwybr. Rhagosodiad un ddyfais yw e.

• Llwybrydd cartref: munudau'n aml, weithiau lawer llai.
• NAT cwmwl neu falansydd llwyth: chwiliwch am y terfyn amser segur dogfennol ar gyfer UDP yn benodol.
• Mur tân y gwesteiwr: mae amseryddion tracio netfilter yn berthnasol fesul llif.

Gwiriwch yr amseryddion ar y llwybr gwirioneddol

Ar Linux, mae amseryddion tracio netfilter yn weladwy ac yn addasadwy: sysctl net.netfilter.nf_conntrack_udp_timeout a net.netfilter.nf_conntrack_udp_timeout_stream. Mae'r ail yn berthnasol unwaith y gwelwyd traffig i'r ddwy gyfeiriad, a dyna pam y gall twnnel sefydledig oroesi archwiliad noeth.

RFC 4787 yn nodi ymddygiad UDP NAT a'r isafswm a argymhellir. Dyma'r cyfeirnod i'w ddyfynnu pan fo rhagosodiad gwerthwr yn edrych yn anarferol o fyr.

Mae keepalive ac ailgysylltu yn ddau offeryn gwahanol

Mae keepalive yn cadw mapiad yn fyw; mae ailgysylltu yn ailadeiladu sesiwn farw. Maent yn datrys methiannau gwahanol ac nid ydynt yn osodiadau cyflymder cyfnewidiol. Mae'r opsiwn WireGuard PersistentKeepalive yn anfon pecyn ar gyfnod sefydlog i ddal y rhwymiad NAT yn agored. Mae'r opsiwn OpenVPN keepalive yn gwneud yr un gwaith yn ei ffordd ei hun. Nid yw'r naill na'r llall yn helpu os yw'r ddyfais yn y canol eisoes wedi anghofio'r llif ac yn gollwng y ddwy gyfeiriad.

Mae archwiliadau hynod o aml yn ychwanegu gwaith heb drwsio'r ffin anghywir.

Gwiriwch gyda chais newydd, nid ail-lwytho tudalen

Ar ôl newid amserydd neu ychwanegu keepalive, ailadroddwch y senario segur yn union fel o'r blaen. Yna gwnewch gais gwirioneddol newydd o'r cymhwysiad a gwmpesir. Gall tab porwr a oedd eisoes wedi'i lwytho rendro o'r storfa a pheidio â dweud dim wrthych.

Os yw'r oedi'n parhau, symudwch un naid tuag allan a gwirio tabl cyflwr y ddyfais honno.