Pam mae twnnel Azure OpenVPN yn cwympo tua phob chwe deg eiliad

Mae'r twnnel yn gorffen ei gyfarchiad, yn cario traffig am tua munud, ac yna'n ailgysylltu. Mae'r dilyniant hwnnw'n diystyru'r prif amheuyn arferol, oherwydd byddai mur tân sy'n rhwystro'r porth wedi atal y cyfarchiad yn hytrach na'r sesiwn. Yr hyn sydd gennych yw anghytundeb ynghylch bywioldeb: penderfynodd un ochr fod y llall wedi mynd yn dawel a thynnu twnnel gweithredol i lawr. Mae llinell y log yn dweud pa ochr, ac mae hi'n dewis y cywiriad.

Darllenwch y llinell honno cyn cyffwrdd ag unrhyw amserydd.

Y myth: mae rhywbeth ar y llwybr yn rhwystro'r twnnel

Pe bai porth wedi'i rwystro, byddai'r cysylltiad yn methu ar y dechrau ac yn parhau'n fethiedig. Mae cylch sy'n ailadrodd yn golygu bod negeseuon rheoli yn llifo, sesiynau'n cael eu sefydlu, a bod rhywbeth yn ddiweddarach yn yr sgwrs yn parhau i ddod i ben. Mae rhwystro'n cynhyrchu distawrwydd, ac mae hyn yn cynhyrchu rhythm.

Rhythm yw'r cliw defnyddiol. Mae amseryddion yn ei gynhyrchu; colled pecynnau yn anaml.

Darllenwch y rheswm datgysylltu cyn yr amserydd

OpenVPN sy'n enwi ei reswm, ac mae pob enw'n cyfeirio at is-system wahanol. Mae Session invalidated: KEEPALIVE_TIMEOUT yn amserydd yn dod i ben, felly cymharwch werthoedd ping a ping-restart ar y ddau ben. Mae AUTH_FAILED yn gyfrifon neu'n gyflwr tystysgrif, ac ni fydd unrhyw newid i amserydd yn helpu. Mae gwall TLS yn golygu na chyrhaeddodd y naill ochr a'r llall y cam keepalive o gwbl.

Cofnodwch amser y cysylltu, amser y datgysylltu, ac a yw'r cyfwng yn sefydlog i'r eiliad. Mae'r mesuriad sengl hwnnw'n gwahanu amserlen wedi'i ffurfweddu oddi wrth gyd-ddigwyddiad.

Mae cyfwng sefydlog yn amserydd. Mae un sy'n drifftio yn fwy tebygol o fod yn broblem llwybr neu'n sesiwn sydd wedi symud.

Dau amserydd keepalive na chytunwyd erioed

Mae proffiliau a allforiwyd o'r porth weithiau'n dal i gynnwys llinellau keepalive neu ping-restart a gopïwyd o dempled gweinydd cymunedol. Mae'r giât yn rhedeg ei chanfod cymar marw ei hun ac yn gorfod ei disgwyliadau ei hun, ac nid oes rhaid i'r ddwy amserlen gyd-fynd. Pan fyddant yn anghytuno, mae'r cleient yn ailgychwyn ar amserlen na chytunodd y giât iddi erioed.

Nid yw'r ddau werth yr un rheolaeth. ping yw pa mor aml y mae'r cleient yn anfon adlais, a ping-restart yw pa mor hir y mae'n aros heb glywed dim cyn tynnu'r twnnel i lawr. Bydd proffil sy'n gosod ping-restart byr a giât sy'n ateb yn araf yn ailgychwyn ym mhob cyfnod tawel, sef yn union siâp cylch munud o hyd.

Y newid lleiaf ar ochr y cleient yw niwtraleiddio'r amseryddion ar lefel uchaf y proffil, y tu allan i bob bloc mewnlin:

keepalive 0 0

Arbedwch, ail-lwythwch y proffil, ailgysylltwch. Mae sesiwn sydd eisoes yn y cof yn cadw'r hen werthoedd, a dyna pam y mae'r golygiad weithiau'n edrych fel pe na bai wedi gwneud dim.

Gall enw'r dystysgrif symud o dan eich traed

Mae dilysu tystysgrif Azure yn dibynnu ar i'r cleient ymddiried yn yr enw y mae'r giât yn ei gyflwyno heddiw. Gall llinell verify-x509-name mewn lawrlwythiad hŷn binio enw y mae ailadeiladu'r giât neu adnewyddu tystysgrif wedi'i newid ers hynny, ac mae'r anghysondeb yn ymddangos fel dolen ailgysylltu yn hytrach nag fel gwall clir. Mae dileu'r llinell yn adfer cysylltedd, sy'n ei gwneud yn ddiagnostig gweddol ac yn atgyweiriad parhaol gwael, oherwydd mae hefyd yn dileu'r dilysu. Unwaith y bydd y twnnel yn dal, adferwch y llinell gyda'r enw y mae'r giât yn ei gyflwyno mewn gwirionedd.

Profwch ail genhedlaeth o gleient ar yr un peiriant cyn golygu'r giât. Os yw un cleient yn cylchu a'r llall yn dal, nid y proffil yw'r broblem.

Beth i'w newid, ac ym mha drefn

Gwiriwch am sesiwn sydd wedi symud nesaf. Gall dau ddyfais sy'n rhannu un dystysgrif wthio ei gilydd allan, ac mae'r canlyniad yn edrych yn gyfnodol oherwydd bod y ddwy ochr yn parhau i ailgysylltu. Cymharwch gofnodion sesiwn pwynt-i-safle ar gyfer yr un hunaniaeth yn ymddangos dro ar ôl tro.

Yna profwch y llwybr segur trwy redeg traffig parhaus am sawl munud. Os bydd y cwympiadau'n stopio tra bo traffig yn llifo, mae'r amserydd sy'n cyfrif yn perthyn i ddyfais NAT neu gydbwysydd llwyth ar y llwybr, nid i OpenVPN.

Dim ond ar ôl y pedwar prawf hynny y dylid newid gosodiadau'r giât.