Γιατί το vpnc αποσυνδέεται στα 24 λεπτά και τι να αλλάξετε

Η σήραγγά σας πεθαίνει σε επαναλαμβανόμενο διάστημα, και αυτό είναι ένα χρονόμετρο που αναφέρει τον εαυτό του, όχι ένα κακό καλώδιο. Είκοσι τέσσερα λεπτά είναι 1440 δευτερόλεπτα, η στρογγυλή τιμή που φέρει ένα προφίλ ή μια πολιτική κεφαλής. Στη συνέχεια η ίδια διαμόρφωση αποτυγχάνει απέναντι στον ίδιο συγκεντρωτή κάθε φορά, ενώ κάθε άλλο δίκτυο λειτουργεί, και καμία δοκιμή ζεύξης δεν το αλλάζει.

Τρεις συνθήκες καθορίζουν ποιο χρονόμετρο είναι δικό σας: αν ο πελάτης εγκαταλείπει μια αδρανή συνεδρία, αν η ανταλλαγή επαναδιαπραγμάτευσης κλειδιών απορρίπτεται, και αν μια πύλη μετάφρασης ξαναέγραψε την ενθυλάκωση.

Ποιο χρονόμετρο κατέχει την πτώση

Μετρήστε το διάστημα σε τουλάχιστον τρεις επανασυνδέσεις πριν αγγίξετε μια ρύθμιση. Μια διασπορά δευτερολέπτων δείχνει απώλεια ζεύξης ή ασύρματη περιαγωγή· μια τιμή που προσγειώνεται κάθε φορά μέσα σε λίγα δευτερόλεπτα από το ίδιο σημάδι δείχνει τιμή πολιτικής. Το μήκος της συνεδρίας λέει επίσης ποιος την τερμάτισε, γιατί ένα χρονικό όριο στην πλευρά του πελάτη και μια διαγραφή στην πλευρά του διακομιστή αφήνουν διαφορετικές τελευταίες γραμμές στην έξοδο αποσφαλμάτωσης. Οι τρεις επανασυνδέσεις αποκαλύπτουν επίσης αν το διάστημα παρεκκλίνει καθόλου, κάτι που μια μόνη μέτρηση δεν μπορεί να δείξει.

Γράψτε τον αριθμό δίπλα στην κεφαλή με την οποία μιλούσατε. Μόλις το διάστημα σταθεροποιηθεί, η υπόλοιπη δουλειά είναι η επιλογή ανάμεσα σε τρεις αιτίες, και μια αλλαγμένη ρύθμιση ανά επανασύνδεση είναι αυτό που τις κρατά διακριτές.

Περίπτωση πρώτη: ο πελάτης εγκαταλείπει μια αδρανή συνεδρία

Το vpnc εκτελεί τον δικό του έλεγχο νεκρού ομολόγου, και αυτός ο έλεγχος μπορεί να σκοτώσει μια συνεδρία που ο συγκεντρωτής εξακολουθεί να θεωρεί ζωντανή, ειδικά όταν ανάμεσά τους βρίσκεται μια πύλη μετάφρασης. Το μέτρο στην πλευρά του πελάτη στην τεκμηρίωση είναι να σβήσετε το χρονόμετρο τοπικά και να αφήσετε την κεφαλή να αποφασίσει πότε ένας ομόλογος έφυγε. Και οι δύο γραμμές παρακάτω ανήκουν στο προφίλ του vpnc ή στη γραμμή εντολών, και οι δύο είναι ανεξάρτητες από τις ρυθμίσεις κρυπτογράφησης.

DPD idle timeout (our side) 0
NAT Traversal Mode cisco-udp

Η απενεργοποίηση του DPD του πελάτη αφαιρεί ένα ψευδές θετικό και αφαιρεί επίσης τη μόνη τοπική ανίχνευσή σας, οπότε εφαρμόστε το μόνο του και παρατηρήστε αν το διάστημα αλλάζει καθόλου.

Περίπτωση δεύτερη: η επαναδιαπραγμάτευση κλειδιών απορρίπτεται

Αν το διάστημα επιβιώσει από την αλλαγή DPD, η επαναδιαπραγμάτευση κλειδιών της φάσης 1 γίνεται υποψήφια. Οι παλαιότερες εκδόσεις του vpnc χειρίζονταν την επαναδιαπραγμάτευση με λιγότερη προσοχή από τις τρέχουσες, και η ομάδα Diffie-Hellman είναι η συνήθης διαφωνία. Ο εξαναγκασμός μιας ομάδας που η κεφαλή δέχεται ήδη κοστίζει μία γραμμή και μία επανασύνδεση, κάτι που το καθιστά φθηνό πείραμα και όχι αλλαγή πολιτικής.

IKE DH Group dh5

Έγκυρα ονόματα ομάδων είναι τα dh1, dh2 και dh5. Μια ομάδα που ο συγκεντρωτής απορρίπτει παράγει άμεση αποτυχία, και αυτό είναι ακόμη πληροφορία: σας λέει ότι η κεφαλή είναι ιδιότροπη και ότι η αρχική ομάδα ήταν πιθανώς σωστή.

Περίπτωση τρίτη: η μετάφραση ξαναγράφει την ενθυλάκωση

Πίσω από μια πύλη μετάφρασης, η ενθυλάκωση UDP της Cisco και η λειτουργία που βασίζεται σε πρότυπα δεν είναι ανταλλάξιμες. Η λάθος επιλογή παράγει συχνά μια σήραγγα που εγκαθίσταται, περνά κίνηση και μετά λήγει υπό φόρτο, κάτι που διαβάζεται ως πρόβλημα εύρους ζώνης και δεν είναι. Αλλάξτε μόνο τη λειτουργία, μετά επανασυνδεθείτε και μετρήστε ξανά την πτώση. Δοκιμάστε την άλλη λειτουργία μόνο αφού αποκλειστούν οι δύο πρώτες περιπτώσεις.

Τα μέτωπα προσθέτουν τη δική τους σύγχυση εδώ. Το NetworkManager δεν θα προσφέρει τύπο σύνδεσης vpnc μέχρι να εγκατασταθεί το πακέτο πρόσθετου, και ένα απόν πρόσθετο εμφανίζεται ως γκριζαρισμένο κουμπί Προσθήκη και όχι ως σφάλμα. Το μέτωπο του KDE κρατά τις ίδιες τιμές σε δικό του προφίλ, οπότε επιβεβαιώστε ότι ο δαίμονας διαβάζει αυτό που επεξεργαστήκατε.

Ένα προφίλ που συνδέεται καλά από τη γραμμή εντολών αλλά όχι από την επιφάνεια εργασίας είναι πρόβλημα μετώπου, όχι πρόβλημα χρονομέτρου.

Επαληθεύστε την ανταλλαγή που αποτυγχάνει πριν από την τρίτη αλλαγή

Εκτελέστε τον πελάτη με έξοδο αποσφαλμάτωσης και διαβάστε την τελευταία ανταλλαγή πριν από την πτώση. Μια διαγραφή φάσης 1 αμέσως πριν από την αποσύνδεση σημαίνει ότι ο πελάτης επαναδιαπραγματεύτηκε κλειδιά και απορρίφθηκε. Μια διαγραφή φάσης 2 στο ίδιο σημείο σημαίνει ότι η σήραγγα διαλύθηκε από την άλλη πλευρά, και οι ρυθμίσεις του πελάτη σας δεν είναι η αιτία.

vpnc --debug 3 office

Ελέγξτε επίσης για δεύτερο δαίμονα δικτύου όταν η σήραγγα επιβιώνει αλλά η κίνηση σταματά. Δύο διαχειριστές που γράφουν τον πίνακα δρομολόγησης παράγουν το ίδιο σύμπτωμα από την επιφάνεια εργασίας και ένα εντελώς διαφορετικό αρχείο καταγραφής.