Γιατί μια σήραγγα Azure OpenVPN πέφτει περίπου κάθε εξήντα δευτερόλεπτα

Η σήραγγα ολοκληρώνει τη χειραψία της, μεταφέρει κίνηση για περίπου ένα λεπτό και μετά επανασυνδέεται. Αυτή η ακολουθία αποκλείει τον συνηθισμένο ύποπτο, γιατί ένα τείχος προστασίας που μπλοκάρει τη θύρα θα είχε σταματήσει τη χειραψία και όχι τη συνεδρία. Αυτό που έχετε είναι μια διαφωνία για τη ζωντάνια: η μία πλευρά αποφάσισε ότι η άλλη είχε σωπάσει και γκρέμισε μια σήραγγα που δούλευε. Η γραμμή του αρχείου καταγραφής λέει ποια πλευρά, και αυτή επιλέγει τη διόρθωση.

Διαβάστε αυτή τη γραμμή πριν αγγίξετε οποιοδήποτε χρονόμετρο.

Ο μύθος: κάτι στη διαδρομή μπλοκάρει τη σήραγγα

Αν μια θύρα ήταν μπλοκαρισμένη, η σύνδεση θα αποτύγχανε στην αρχή και θα παρέμενε αποτυχημένη. Ένας επαναλαμβανόμενος κύκλος σημαίνει ότι τα μηνύματα ελέγχου ρέουν, οι συνεδρίες εγκαθίστανται και κάτι αργότερα στη συνομιλία λήγει συνεχώς. Το μπλοκάρισμα παράγει σιωπή, και αυτό παράγει ρυθμό.

Ο ρυθμός είναι το χρήσιμο στοιχείο. Τα χρονόμετρα τον παράγουν· η απώλεια πακέτων σπάνια.

Διαβάστε τον λόγο αποσύνδεσης πριν από το χρονόμετρο

Το OpenVPN ονομάζει τον λόγο του, και κάθε όνομα δείχνει σε διαφορετικό υποσύστημα. Το Session invalidated: KEEPALIVE_TIMEOUT είναι ένα χρονόμετρο που λήγει, οπότε συγκρίνετε τις τιμές ping και ping-restart στα δύο άκρα. Το AUTH_FAILED είναι διαπιστευτήρια ή κατάσταση πιστοποιητικού, και καμία αλλαγή χρονομέτρου δεν θα βοηθήσει. Ένα σφάλμα TLS σημαίνει ότι οι ομότιμοι δεν έφτασαν καθόλου στο στάδιο keepalive.

Καταγράψτε την ώρα σύνδεσης, την ώρα αποσύνδεσης και αν το διάστημα είναι σταθερό στο δευτερόλεπτο. Αυτή η μία μέτρηση ξεχωρίζει ένα διαμορφωμένο χρονοδιάγραμμα από μια σύμπτωση.

Ένα σταθερό διάστημα είναι χρονόμετρο. Ένα που μετατοπίζεται είναι πιθανότερα πρόβλημα διαδρομής ή μετατοπισμένη συνεδρία.

Δύο χρονόμετρα keepalive που δεν συμφώνησαν ποτέ

Τα προφίλ που εξάγονται από την πύλη μερικές φορές εξακολουθούν να φέρουν γραμμές όπως keepalive ή ping-restart αντιγραμμένες από πρότυπο διακομιστή κοινότητας. Η πύλη εκτελεί τη δική της ανίχνευση νεκρού ομολόγου και επιβάλλει τις δικές της προσδοκίες, και τα δύο χρονοδιαγράμματα δεν χρειάζεται να ταιριάζουν. Όταν διαφωνούν, ο πελάτης επανεκκινεί με χρονοδιάγραμμα που η πύλη δεν συμφώνησε ποτέ.

Οι δύο τιμές δεν είναι ο ίδιος έλεγχος. Το ping είναι πόσο συχνά ο πελάτης στέλνει ηχώ, και το ping-restart είναι πόσο περιμένει χωρίς να ακούσει τίποτα πριν γκρεμίσει τη σήραγγα. Ένα προφίλ με σύντομο ping-restart και μια πύλη που απαντά αργά θα επανεκκινούν σε κάθε ήσυχη περίοδο, που είναι ακριβώς το σχήμα ενός κύκλου ενός λεπτού.

Η μικρότερη αλλαγή στην πλευρά του πελάτη είναι να εξουδετερώσετε τα χρονόμετρα στο ανώτατο επίπεδο του προφίλ, έξω από κάθε ενσωματωμένο μπλοκ:

keepalive 0 0

Αποθηκεύστε, φορτώστε ξανά το προφίλ, επανασυνδεθείτε. Μια συνεδρία που βρίσκεται ήδη στη μνήμη κρατά τις παλιές τιμές, γι' αυτό μερικές φορές η επεξεργασία μοιάζει να μην έκανε τίποτα.

Το όνομα του πιστοποιητικού μπορεί να μετακινηθεί κάτω από τα πόδια σας

Ο έλεγχος ταυτότητας με πιστοποιητικό Azure εξαρτάται από το αν ο πελάτης εμπιστεύεται το όνομα που παρουσιάζει σήμερα η πύλη. Μια γραμμή verify-x509-name σε παλαιότερη λήψη μπορεί να καρφιτσώσει ένα όνομα που μια ανακατασκευή της πύλης ή μια ανανέωση πιστοποιητικού έχει αλλάξει από τότε, και η αναντιστοιχία εμφανίζεται ως βρόχος επανασύνδεσης και όχι ως σαφές σφάλμα. Η διαγραφή της γραμμής αποκαθιστά τη συνδεσιμότητα, που την κάνει καλή διάγνωση και κακή μόνιμη διόρθωση, γιατί αφαιρεί και την επαλήθευση. Μόλις η σήραγγα κρατήσει, επαναφέρετε τη γραμμή με το όνομα που παρουσιάζει πραγματικά η πύλη.

Δοκιμάστε μια δεύτερη γενιά πελάτη στο ίδιο μηχάνημα πριν επεξεργαστείτε την πύλη. Αν ο ένας πελάτης κάνει βρόχο και ο άλλος κρατά, το πρόβλημα δεν είναι το προφίλ.

Τι να αλλάξετε, και με ποια σειρά

Ελέγξτε μετά για μετατοπισμένη συνεδρία. Δύο συσκευές που μοιράζονται ένα πιστοποιητικό μπορούν να σπρώξουν η μία την άλλη έξω, και το αποτέλεσμα φαίνεται περιοδικό γιατί και οι δύο πλευρές συνεχίζουν να επανασυνδέονται. Συγκρίνετε τις εγγραφές συνεδριών σημείου-προς-τοποθεσία για την ίδια ταυτότητα που εμφανίζεται ξανά και ξανά.

Στη συνέχεια δοκιμάστε τη διαδρομή αδράνειας τρέχοντας συνεχή κίνηση για αρκετά λεπτά. Αν οι πτώσεις σταματήσουν όσο ρέει η κίνηση, το χρονόμετρο που μετράει ανήκει σε συσκευή NAT ή εξισορροπητή φόρτου στη διαδρομή και όχι στο OpenVPN.

Οι ρυθμίσεις της πύλης πρέπει να αλλάξουν μόνο μετά από αυτές τις τέσσερις δοκιμές.