Pam fod vpnc yn datgysylltu ar ôl 24 munud a beth i'w newid

Mae eich tiwnel yn marw ar gyfnod ailadroddus, sef amserydd sy'n adrodd amdano'i hun yn hytrach na chebl drwg. Pedair munud ar hugain yw 1440 eiliad, y math o werth crwn y mae proffil neu bolisi pen y pen yn ei gario. Yna mae'r un cyfluniad yn methu yn erbyn yr un crynodydd bob tro tra bo pob rhwydwaith arall yn gweithio, ac nid yw unrhyw brawf cyswllt yn newid hynny.

Mae tri amod yn penderfynu pa amserydd yw eich un chi: a yw'r cleient yn rhoi'r gorau i sesiwn segur, a yw'r cyfnewid ail-gyweirio'n cael ei wrthod, ac a yw porth cyfieithu wedi ailysgrifennu'r amgaead.

Pa amserydd sy'n berchen ar y methiant

Mesurwch y cyfnod dros o leiaf dair ailgysylltiad cyn cyffwrdd ag unrhyw osodiad. Mae gwasgariad o eiliadau'n awgrymu colled cyswllt neu grwydro di-wifr; mae gwerth sy'n glanio bob tro o fewn ychydig eiliadau i'r un marc yn awgrymu gwerth polisi. Mae hyd y sesiwn hefyd yn dweud pwy a'i gorffennodd, oherwydd mae terfyn amser ar ochr y cleient a dilead ar ochr y gweinydd yn gadael llinellau olaf gwahanol yn yr allbwn dadfygio. Mae tair ailgysylltiad hefyd yn dangos a yw'r cyfnod yn symud o gwbl, rhywbeth na all un mesuriad ei ddangos.

Ysgrifennwch y rhif wrth ymyl y pen y pen yr oeddech yn siarad ag ef. Unwaith y bydd y cyfnod yn sefydlog, y gwaith sy'n weddill yw dewis rhwng tri achos, a newid un gosodiad fesul ailgysylltiad sy'n eu cadw'n wahanadwy.

Achos un: mae'r cleient yn gadael sesiwn segur

Mae vpnc yn rhedeg ei wiriad cymar marw ei hun, a gall y gwiriad hwnnw ladd sesiwn y mae'r crynodydd yn dal i gredu ei bod yn fyw, yn enwedig pan fo porth cyfieithu rhwng y ddau. Yr ateb ar ochr y cleient yn y ddogfennaeth yw diffodd yr amserydd yn lleol a gadael i ben y pen benderfynu pryd mae cymar wedi mynd. Mae'r ddwy linell isod yn perthyn i broffil vpnc neu i'r llinell orchymyn, ac mae'r ddwy'n annibynnol o'r gosodiadau amgryptio.

DPD idle timeout (our side) 0
NAT Traversal Mode cisco-udp

Mae analluogi DPD y cleient yn dileu ffug bositif ac yn dileu eich unig ganfyddiad lleol hefyd, felly cymhwyswch ef ar ei ben ei hun a gwyliwch a yw'r cyfnod yn newid o gwbl.

Achos dau: mae'r ail-gyweirio'n cael ei wrthod

Os yw'r cyfnod yn goroesi'r newid DPD, mae ail-gyweirio cyfnod 1 yn dod yn ymgeisydd. Roedd adeilediadau hŷn o vpnc yn trin ail-gyweirio'n llai gofalus na'r rhai cyfredol, a'r grŵp Diffie-Hellman yw'r anghytundeb arferol. Mae gorfodi grŵp y mae pen y pen yn ei dderbyn yn barod yn costio un linell ac un ailgysylltiad, sy'n ei wneud yn arbrawf rhad yn hytrach na newid polisi.

IKE DH Group dh5

Yr enwau grŵp dilys yw dh1, dh2 a dh5. Mae grŵp y mae'r crynodydd yn ei wrthod yn cynhyrchu methiant ar unwaith, sy'n dal yn wybodaeth: mae'n dweud wrthych fod pen y pen yn gofyn llawer a bod y grŵp gwreiddiol yn ôl pob tebyg yn gywir.

Achos tri: mae cyfieithu'n ailysgrifennu'r amgaead

Y tu ôl i borth cyfieithu, nid yw amgaead UDP Cisco a'r modd sy'n seiliedig ar safonau yn gyfnewidiol. Mae'r dewis anghywir yn aml yn cynhyrchu tiwnel sy'n sefydlu, yn pasio traffig ac yna'n dod i ben dan lwyth, sy'n darllen fel problem lled band ac nid yw. Newidiwch y modd yn unig, yna ailgysylltwch a mesurwch y methiant eto. Rhowch gynnig ar y modd arall dim ond ar ôl i'r ddau achos cyntaf gael eu diystyru.

Mae blaenau'n ychwanegu eu dryswch eu hunain yma. Ni fydd NetworkManager yn cynnig math o gysylltiad vpnc nes bod y pecyn ategyn wedi'i osod, ac mae ategyn ar goll yn ymddangos fel botwm Ychwanegu llwyd yn hytrach na gwall. Mae blaen KDE yn cadw'r un gwerthoedd mewn proffil ei hun, felly cadarnhewch fod y daemon yn darllen yr hyn a olygwyd gennych.

Mae proffil sy'n cysylltu'n iawn o'r llinell orchymyn ond nid o'r bwrdd gwaith yn broblem blaen, nid yn broblem amserydd.

Gwiriwch y cyfnewid sy'n methu cyn y trydydd newid

Rhedwch y cleient ag allbwn dadfygio a darllenwch y cyfnewid olaf cyn y methiant. Mae dilead cyfnod 1 yn union cyn y datgysylltiad yn golygu bod y cleient wedi ail-gyweirio ac wedi cael ei wrthod. Mae dilead cyfnod 2 ar yr un pwynt yn golygu bod y tiwnel wedi'i chwalu o'r ochr arall, ac nad eich gosodiadau cleient chi yw'r achos.

vpnc --debug 3 office

Gwiriwch hefyd am ail daemon rhwydwaith pan fydd y tiwnel yn goroesi ond y traffig yn stopio. Mae dau reolwr yn ysgrifennu'r tabl llwybro yn cynhyrchu'r un symptom o'r bwrdd gwaith a log hollol wahanol.