VPN yn datgysylltu’n barhaus? Gweithiwch drwyddo yn y drefn hon

Cyn ailosod y cleient, ysgrifennwch dri pheth: pa mor hir y bu’r twnnel i fyny, beth ddywedodd y cleient pan ddatgysylltodd, ac a fu’r peiriant yn cysgu neu’n newid rhwydwaith yn y cyfamser. Y nodyn hwnnw yw’r unig dystiolaeth a fydd gennych yn ddiweddarach, ac mae ailosod fel arfer yn ei ddileu. Mae datgysylltiad ar gyfwng sy’n ailadrodd yn amserydd neu’n ddod i ben o gyflwr; mae datgysylltiad ar foment hap yn broblem llwybr. Mae’r drefn isod yn eich cadw rhag newid tri pheth ar unwaith a dysgu dim.

Cam un: cofnodwch y cyfwng a thestun y gwall

Dechreuwch gyda log y cleient ei hun yn hytrach na dangosfwrdd y gwerthwr. Ar gleient Linux, mae log y gwasanaeth ynghyd â chyflwr byw’r twnnel yn cwmpasu’r rhan fwyaf ohono:

journalctl -u openvpn-client@client --since '3 hours ago' | tail -60
journalctl -u wg-quick@wg0 --since '3 hours ago' | tail -40
wg show
ip -s link show wg0

Cofnodwch stampiau amser yr ysgwyd llaw llwyddiannus olaf a’r foment y stopiodd y traffig, nid yn unig y foment y newidiodd yr eicon liw. Efallai bod cleient GUI sy’n dweud datgysylltu ar ôl y ffaith yn adrodd cyflwr y cyrhaeddodd y cnewyllyn ef eiliadau ynghynt.

Cadwch eiriad y gwall. Mae terfyn amser, gwrthodiad dilysu a gwall addasydd neu yrru yn cyfeirio at dair haen wahanol, a daw’r rhan fwyaf o’r ymdrech ofer yn y broblem hon o’u trin fel un. Copïwch y llinell yn llythrennol i mewn i’ch nodyn.

Cam dau: newidiwch un newidyn, nid y proffil

Cadwch y ddyfais a’r proffil yn sefydlog a symudwch y peiriant i rwydwaith mynediad arall, fel hotspot ffôn. Dyma’r prawf rhataf sy’n gwahanu’r cleient oddi wrth y llwybr. Rhedwch ef yn ddigon hir i gynnwys y cyfwng methiant gwreiddiol; nid yw dwy funud sefydlog yn profi dim am ddatgysylltiad sy’n digwydd ar y funud ddeg ar hugain.

Mae gliniadur â phorth Ethernet yn rhoi ail gymhariaeth sy’n tynnu Wi-Fi o’r darlun yn gyfan gwbl. Os yw’r twnnel yn dal ar y ddau ddewis arall, mae’r rhwydwaith mynediad gwreiddiol yn haeddu sylw: crwydro rhwng pwyntiau mynediad, llwybrydd cartref y mae ei dabl cyfieithu’n dod i ben, neu gyswllt i fyny sy’n ailosod ffrydiau hir.

Ysgrifennwch pa newidyn a newidiasoch. Dim ond pan arhosodd popeth arall yr un fath y mae cymhariaeth yn cyfrif, ac mae hynny’n cynnwys pen draw’r gweinydd ac amser y dydd.

Cam tri: mapiwch y cyfwng i haen

Hyd sesiwn dda yw’r un rhif mwyaf addysgiadol sydd gennych. Darllenwch ef yn erbyn y rhestr hon cyn cyffwrdd ag amseryddion:

• Datgysylltiad ar ôl cysgu neu ailddeffro: goroesodd cyflwr y twnnel y gohiriad ond ni wnaeth y rhyngwyneb. Gwiriwch ymddygiad ailgysylltu’r cleient wrth ailddeffro ac a yw’r gwasanaeth yn ailgychwyn y twnnel neu’n aros am draffig.
• Datgysylltiad dim ond pan mae’n segur: mae rhywbeth yn y canol wedi gadael i’r ffrwd ddod i ben. Dyma’r achos y mae keepalive yn bodoli ar ei gyfer.
• Datgysylltiad ar oedran sesiwn sefydlog: digwyddiad ail-ddilysu neu ail-allweddu, nid methiant llwybr. Gwrthodiad penodol yn y log ar union y cyfwng hwnnw yw’r arwydd.
• Datgysylltiad yn ystod trosglwyddiadau mawr neu dudalennau mawr: amau MTU a darniaeth, nid amserydd segur.

Ar gyfer achos y segur, mae’r gosodiadau’n benodol i’r protocol ac mae’r ddau ben yn bwysig. Mae keepalive 10 60 OpenVPN ar y gweinydd yn anfon ping bob 10 eiliad ac yn ailgychwyn y cyswllt ar ôl 60 eiliad heb un; mae cleientiaid WireGuard y tu ôl i NAT yn defnyddio PersistentKeepalive = 25 ym mloc y cymar. OpenVPN hefyd yn ailnegodi’r sianel ddata ar amserydd, reneg-sec, sydd fel arfer yn 3600 eiliad yn 2.x.

Peidiwch â chopïo gwerthoedd ymosodol o ganllaw darparwr arall. Mae terfyn amser byr ar gyswllt symudol â cholledion yn cynhyrchu’r datgysylltiadau yr oedd i fod i’w hatal, ac mae gwerthoedd a wthir gan y gweinydd yn diystyru’r hyn a osodwch ym mhroffil y cleient.

Cam pedwar: cymharwch un dewis arall a gefnogir

Os yw’r gweithredwr yn cyhoeddi proffil UDP a phroffil TCP, rhedwch yr un ddyfais a’r un rhwydwaith yn erbyn y llall. Defnyddiwch y ffeil gyfatebol wirioneddol yn hytrach na golygu’r cludiant mewn proffil copïedig. Mae proffil TCP sefydlog ar lwybr lle mae UDP yn ailosod yn culhau’r broblem i’r llwybr hwnnw; nid yw’n profi mai TCP yw’r cludiant gorau ym mhob man.

Mae’r un rhesymeg yn berthnasol i bennau draw. Rhowch gynnig ar weinydd arall a chadwch y canlyniad gwreiddiol wrth ei ochr. Os mai dim ond un allanfa sy’n ailosod sesiynau, tystiolaeth am y pen draw hwnnw yw hynny, nid rheswm i ailadeiladu pob addasydd ar y gliniadur.

Ar ôl unrhyw newid, ailadroddwch y sbardun gwreiddiol a chadarnhewch i ble mae’r traffig yn mynd mewn gwirionedd. Nid yw mynediad rhyngrwyd a adenillwyd yr un canlyniad â thraffig y tu mewn i’r twnnel, ac mae cleient sydd wedi cwympo’n dawel i lwybr uniongyrchol yn edrych yn iach o’r porwr.

Gwiriwch y cywiriad, a chadwch y gallu i droi’n ôl

Mae cywiriad yn cael ei wirio drwy atgynhyrchu’r sbardun gwreiddiol, nid drwy gysylltiad llwyddiannus. Gadewch y twnnel yn segur y tu hwnt i’r hen gyfwng methiant, gohiriwch ac ailddeffrwch unwaith, a gwiriwch oedran yr ysgwyd llaw a’r cyfeiriad allan wedyn:

wg show wg0 latest-handshakes
curl -m 5 -sS https://ifconfig.me
cp client.ovpn client.ovpn.bak   # before editing timers

Cadwch y proffil blaenorol a’r gwerthoedd amserydd blaenorol nes bod yr ymddygiad newydd yn goroesi diwrnod gwaith cyfan. Os daw’r datgysylltiadau yn ôl, adferwch y copi wrth gefn, yna ailgymhwyswch un newid ar y tro fel bod yr ail ymgais yn dechrau o gyflwr hysbys.

Os yw’r log yn parhau’n lân ac mae’r twnnel yn dal i ddatgysylltu ar gyfwng sy’n ailadrodd, y stop nesaf yw ochr y gweinydd ar gyfer y sesiwn honno. Ewch â dynodydd sesiwn y cleient ac union amser y datgysylltiad gyda chi, oherwydd y pâr hwnnw sy’n gwneud log gweinydd yn chwiliadwy. Mae opsiynau cyswllt y protocol wedi’u dogfennu yn llawlyfr OpenVPN 2.6 pan fo angen union ystyr gwerth arnoch.