Γιατί το VPN σας πέφτει κάθε φορά που περιστρέφονται τα κλειδιά

Η σύνδεση δουλεύει για μία ώρα και μετά πεθαίνει, και ο πελάτης δεν αναφέρει τίποτε πιο χρήσιμο από το disconnected. Αυτή η περίοδος είναι το στοιχείο, γιατί κάτι στην ανταλλαγή ανανέωσης διαφέρει από την αρχική χειραψία. Το χρονόμετρο αποφασίζει μόνο πότε θα το συναντήσετε. Κρατήστε τα μηνύματα εκείνης της ανταλλαγής αντί για την τελική ετικέτα.

Διαβάστε το στάδιο, όχι την ετικέτα

Στο IKEv2 ο συσχετισμός IKE και ο συσχετισμός CHILD ανανεώνονται με ξεχωριστά χρονοδιαγράμματα. Μια πρόταση που ήταν αποδεκτή για την πρώτη διαπραγμάτευση δεν είναι αυτόματα αποδεκτή για τη δεύτερη. Ο ένας μπορεί να ολοκληρωθεί ενώ ο άλλος απορρίπτεται, κάτι που παράγει μια σήραγγα που υπάρχει μισή. Καταγράψτε την ανταλλαγή με το εργαλείο που την κατέχει αντί για μια γραμμή αρχείου καταγραφής του πελάτη:

swanctl --list-sas
swanctl --log --level 2
ip xfrm state list

Για το OpenVPN, το αντίστοιχο γεγονός είναι μια επαναδιαπραγμάτευση που διέπεται από την έκδοση και τις ρυθμίσεις ανάπτυξης. Η συμπεριφορά ταυτοποίησής του έχει δικούς της τρόπους αποτυχίας. Το μήνυμα που έχει σημασία κατονομάζει το αποτυχημένο στάδιο, και πρέπει να το καταγράψετε αυτολεξεί αντί να το παραφράσετε σε ένα δελτίο.

Σημειώστε και τις χρονικές σημάνσεις. Μια πτώση σε σταθερό διάστημα μετά την τελευταία επιτυχημένη διαπραγμάτευση είναι πολύ διαφορετικό εύρημα από μια που έρχεται τυχαία κατά τη χρήση, και το διάστημα είναι συχνά η μόνη απόδειξη που επιβιώνει.

Συγκρίνετε την πρόταση που αποτυγχάνει

Μια απορριφθείσα πρόταση παράγει σαφές μήνυμα στον αποκρινόμενο. Η συνήθης αιτία είναι μια διαφορά μεταξύ των δύο άκρων σε αλγόριθμο, μήκος κλειδιού, ομάδα ή διάρκεια ζωής. Η αρχική διαπραγμάτευση CHILD μπορεί να πέτυχε επειδή την ξεκίνησε η άλλη πλευρά, που σημαίνει ότι χρησιμοποίησε τη λίστα προτάσεων της άλλης πλευράς. Κοιτάξτε και τα δύο άκρα πριν αλλάξετε κάτι.

Οι ασυμφωνίες διάρκειας ζωής αξίζουν ιδιαίτερη προσοχή, γιατί μια τιμή που φαινόταν γενναιόδωρη στο ένα άκρο μπορεί να κάνει το άλλο άκρο να ξεκινήσει ανανέωση που δεν μπορεί να ολοκληρώσει. Η τεκμηρίωση της συμπεριφοράς ανανέωσης κλειδιών περιγράφει πώς ενεργοποιείται η ανανέωση του συσχετισμού και πώς τα δύο άκρα μπορούν να διαφέρουν στις προσδοκίες χρόνου. Συγκρίνετε τι δηλώνει ότι υποστηρίζει κάθε άκρο αντί για το τι υπονοεί το αρχείο διαμόρφωσης.

Ένα παλιό προφίλ ή ένα πρότυπο παρόχου μπορεί να καρφιτσώσει μια πρόταση που η τρέχουσα έκδοση δεν προσφέρει πλέον. Η ασυμφωνία εμφανίζεται μόνο όταν εξαναγκάζεται μια νέα διαπραγμάτευση.

Ξεχωρίστε ένα πρόβλημα διαπιστευτηρίων από έναν μη προσβάσιμο ομότιμο

Μια ανανέωση που αποτυγχάνει στην ταυτοποίηση φαίνεται παρόμοια στον πελάτη και εντελώς διαφορετική στον διακομιστή. Αν ένα διαπιστευτήριο ελέγχεται ξανά στην επαναδιαπραγμάτευση, ένα ληγμένο πιστοποιητικό, ένας ανακλημένος λογαριασμός ή ένας αλλαγμένος κωδικός θα παράγουν πτώση ακριβώς στο διάστημα ανανέωσης, ενώ κάθε προηγούμενη σύνδεση είχε πετύχει. Ο μη προσβάσιμος ομότιμος είναι η τρίτη πιθανότητα, και δεν παράγει καμία απόρριψη: τα πακέτα φεύγουν και τίποτε δεν απαντά. Αυτή η περίπτωση συνήθως ακολουθεί αλλαγή δικτύου αντί για χρονόμετρο, οπότε ελέγξτε αν η αποτυχία ακολουθεί περιαγωγή, περίοδο αδράνειας ή αλλαγή διαδρομής.

Ξεχωρίστε τις τρεις από το τι κατέγραψε το απομακρυσμένο άκρο. Απόρριψη με αιτία, αποτυχία ταυτοποίησης και σιωπή είναι τρεις διαφορετικές διορθώσεις. Η επανεκκίνηση του πελάτη τις συνενώνει σε μία άχρηστη παρατήρηση.

Ελέγξτε τις ημερομηνίες του πιστοποιητικού και την κατάσταση του λογαριασμού πριν κατηγορήσετε το δίκτυο. Και τα δύο είναι φθηνά στον έλεγχο και τα δύο είναι αόρατα στο μήνυμα του ίδιου του πελάτη.

Εξαναγκάστε μία ανανέωση και διαβάστε το αποτέλεσμα

Εξαναγκάστε μία ανανέωση με την υποστηριζόμενη από τον πάροχο μέθοδο αντί να περιμένετε μια ώρα για την επόμενη. Διατηρήστε άθικτη την απαιτούμενη πολιτική αποτυχίας όσο το κάνετε. Η απενεργοποίηση της επαλήθευσης ή το τέντωμα των διαρκειών σε μια μέρα κάνει το σύμπτωμα να εξαφανιστεί από τα αρχεία σας χωρίς να διορθώσει τίποτε. Αφήνει επίσης μια μεγαλύτερη διακοπή να περιμένει τον επόμενο άνθρωπο.

Μόλις η διόρθωση είναι στη θέση της, ελέγξτε τη ανανεωμένη σήραγγα και μετά κάντε ένα νέο αίτημα από την εφαρμογή. Μια συνεδρία εφαρμογής που ήταν ζωντανή όταν άλλαξε ο συσχετισμός μπορεί να χρειάζεται τη δική της ανάκτηση ακόμα και όταν η σήραγγα είναι ξανά υγιής. Οι χρήστες θα το αναφέρουν ως VPN που είναι ακόμη χαλασμένο.

Καταγράψτε τις εκδόσεις κυκλοφορίας, τα διαπραγματευμένα χρονόμετρα και το στάδιο που απέτυχε. Η επόμενη επανάληψη μπορεί τότε να συγκριθεί με αυτήν αντί να περιγραφεί ξανά από μνήμης.