Hvorfor vpnc afbryder efter 24 minutter, og hvad du skal ændre

Din tunnel dør med et gentageligt interval, og det er en timer, der melder sig selv, ikke et dårligt kabel. Fireogtyve minutter er 1440 sekunder, den slags runde værdi som en profil eller en politik på hovedenden bærer. Den samme konfiguration fejler derefter mod den samme concentrator hver gang, mens alle andre netværk virker, og ingen mængde linktest ændrer det.

Tre betingelser afgør, hvilken timer der er din: om klienten opgiver en inaktiv session, om rekey-udvekslingen afvises, og om en oversættende gateway har skrevet indkapslingen om.

Hvilken timer ejer droppet

Mål intervallet over mindst tre genopkoblinger, før du rører en indstilling. En spredning på sekunder peger på linktab eller vandring på trådløst; en værdi, der hver gang lander inden for få sekunder af det samme mærke, peger på en politikværdi. Sessionslængden fortæller også, hvem der afsluttede den, fordi en timeout på klientsiden og en sletning på serversiden efterlader forskellige sidste linjer i fejlfindingsoutputtet. Tre genopkoblinger viser også, om intervallet overhovedet driver, hvilket en enkelt måling ikke kan vise.

Skriv tallet ned ved siden af den hovedende, du talte med. Når intervallet er stabilt, består det resterende arbejde i at vælge mellem tre årsager, og én ændret indstilling per genopkobling er det, der holder dem adskillelige.

Sag et: klienten opgiver en inaktiv session

vpnc kører sin egen død-peer-kontrol, og den kontrol kan dræbe en session, som concentratoren stadig tror er levende, især når en oversættende gateway sidder mellem de to. Klientsideløsningen i dokumentationen er at slå timeren fra lokalt og lade hovedenden afgøre, hvornår en peer er væk. Begge linjer nedenfor hører i vpnc-profilen eller på kommandolinjen, og begge er uafhængige af krypteringsindstillingerne.

DPD idle timeout (our side) 0
NAT Traversal Mode cisco-udp

Deaktivering af klient-DPD fjerner en falsk positiv og fjerner også din eneste lokale registrering, så anvend den alene og se, om intervallet overhovedet ændrer sig.

Sag to: rekey afvises

Holder intervallet efter DPD-ændringen, bliver rekey i fase 1 kandidaten. Ældre vpnc-builds håndterede rekey mindre omhyggeligt end nuværende, og Diffie-Hellman-gruppen er den sædvanlige uenighed. At tvinge en gruppe, som hovedenden allerede accepterer, koster én linje og én genopkobling, hvilket gør det til et billigt eksperiment snarere end en politikændring.

IKE DH Group dh5

Gyldige gruppenavne er dh1, dh2 og dh5. En gruppe, som concentratoren afviser, giver en øjeblikkelig fejl, og det er stadig information: det fortæller, at hovedenden er kræsen, og at den oprindelige gruppe sandsynligvis var korrekt.

Sag tre: oversættelse skriver indkapslingen om

Bag en oversættende gateway er Ciscos UDP-indkapsling og den standardbaserede tilstand ikke udskiftelige. Det forkerte valg giver ofte en tunnel, der etableres, sender trafik og derefter udløber under belastning, hvilket læses som et båndbreddeproblem og ikke er et. Skift kun tilstanden, og genopkobl og mål droppet igen. Prøv den anden tilstand først, efter at de to første sager er udelukket.

Frontends tilføjer deres egen forvirring her. NetworkManager tilbyder ikke en vpnc-forbindelsestype, før plugin-pakken er installeret, og et manglende plugin vises som en gråtonet Tilføj-knap i stedet for en fejl. KDEs frontend holder de samme værdier i sin egen profil, så bekræft, at daemonen læser det, du redigerede.

En profil, der forbinder fint fra kommandolinjen men ikke fra skrivebordet, er et frontend-problem, ikke et timerproblem.

Bekræft den udveksling, der fejler, før den tredje ændring

Kør klienten med fejlfindingsoutput og læs den sidste udveksling før droppet. En fase 1-sletning umiddelbart før afbrydelsen betyder, at klienten lavede rekey og blev afvist. En fase 2-sletning samme sted betyder, at tunnelen blev revet ned fra den anden side, og at dine klientindstillinger ikke er årsagen.

vpnc --debug 3 office

Tjek også for en anden netværksdaemon, når tunnelen overlever, men trafikken stopper. To managers, der skriver routingtabellen, giver det samme symptom fra skrivebordet og en helt anden log.