Ĉu VPN malkonektiĝas je la sama intervalo? Kongruigu la tempigilon
Falo je fiksa intervalo estas fingrospuro. Komparu la ŝlosilreŝanĝon de la tunelo, la senokupan tempigilon de NAT, la luon de DHCP kaj la kontan limon antaŭ ol ŝanĝi ion.
Tunelo, kiu mortas ĉiun dek kvin minutojn, aŭ ĉiun horon je la sama minuto, diras al vi, ke iu tempigilo eksvalidiĝis, ne ke la reto estas malstabila. La utila moveo estas skribi la intervalon kaj kompari ĝin kun la kvar tempigiloj, kiuj produktas ĉi tiun ŝablonon. Ŝanĝi la tempolimojn antaŭ tiu komparo kutime movas la difekton sen klarigi ĝin, kio igas la sekvan okazon pli malfacila legebla ol la unua. La mezurado kostas dek minutojn kaj anstataŭas semajnon da konjektado.
Konvertu la intervalon al nombro
Kolektu kvin aŭ ses okazojn kaj kalkulu la interspacon inter ili, ne la interspacon de la komenco de la tago. Falo je 09:12, 10:12 kaj 11:12 estas hora limo; falo je 09:12, 09:27 kaj 09:42 estas dek kvin minutoj de la lasta sukcesa konekto. Rondigu la rezulton al la plej verŝajna tempigilo, ne al la plej proksima minuto.
Registru du momentojn por okazo: kiam la trafiko lastfoje moviĝis kaj kiam la kliento raportis la malkonekton. Ili diferencas, kiam tunelo mortas silente kaj la kliento rimarkas nur ĉe la sekva sendo, kaj tiu diferenco estas tio, kio apartigas senokupan tempolimon de malmola difekto. Kliento, kiu rimarkas malfrue, pligrandigas la senokupan fenestron, kiun vi mezuras.
Notu, ĉu la rekonekto estas aŭtomata. Kliento, kiu rekonektiĝas ene de sekundoj, tenas la intervalon videbla en la protokolo kaj ekster la uzantara raporto, kaj tial ĉi tiuj difektoj ofte estas priskribitaj kiel okazaj, ne periodaj. Ĝi ankaŭ kaŝas la okazon de la persono, kiu uzas la tekkomputilon.
Kvar tempigiloj, kiuj aspektas same
Preskaŭ ĉiu ripetiĝanta tunela falo venas de unu el ĉi tiuj: protokola ŝlosilreŝanĝo, eksvalidiĝo de senokupa mapado, okazo de DHCP aŭ interfaco, aŭ konta politiko. Ili diferencas laŭ tio, ĉu trafiko fluis, kaj laŭ tio, kion la protokolo diras ĉe la limo.
La subaj signoj indas lerni, ĉar ili permesas al vi malakcepti tri klarigojn per unu protokola linio:
| Timer | Typical trigger | What the log shows at the boundary |
|---|---|---|
| Protocol rekey | Traffic present, fixed interval | Negotiation lines, sometimes a failure |
| NAT or firewall idle | No traffic for minutes | Silence, then a timeout on send |
| DHCP lease or link change | Half the lease, or a radio event | Address or interface churn |
| Account session limit | Wall-clock hours since login | Clean disconnect, server-side reason |
La unua vico estas sekureca mekanismo, kiu faras sian laboron, kaj la dua estas pera aparato, kiu forgesas staton. Konfuzi ilin kondukas aŭ al malfortigo de la ŝlosilreŝanĝo aŭ al postkurado de fajromura regulo, kiu neniam estis implikita.
Okupata kontraŭ senokupa diras al vi kiun duonon
Faru kontrolitan komparon kun kontinua trafiko, ekzemple longan fluon al gastiganto ene de la tunelo, kaj observu, ĉu la intervalo ŝanĝiĝas. Se la falo malaperas dum datumoj fluas, la tempigilo baziĝas sur senokupo.
Se ĝi postvivas kontinuan trafikon, la kaŭzo apartenas al ŝlosilreŝanĝo, luo aŭ politiko. Tiu sola testo forigas duonon de la kandidatoj en proksimume horo da observado, kaj ĝi kostas nenion krom atento.
Tenu la alirreton senŝanĝa dum la testo. Ŝanĝi inter Wi-Fi kaj Ethernet meze de la komparo enkondukas ĝuste tiun interfacan okazon, kiun vi provas distingi de tempigilo.
Kongruigu la protokolan linion kun la limo
Legu la klientajn kaj servantajn protokolojn ĉirkaŭ la registrita momento, ne la tutan dosieron. Ŝlosilreŝanĝo montras intertraktadon; senokupa eksvalidiĝo montras nenion ĝis la sekva paketo; luŝanĝo montras adresan laboron; politika limo kutime montras puran administran malkonekton.
Ĉi tiuj komandoj eltiras la koncernan fenestron el ĉiu fonto:
grep -iE "reneg|TLS Error|Inactivity" /var/log/openvpn.log | tail -20
journalctl -u NetworkManager --since "-90 min" | grep -iE "dhcp|link"
wg showSe la tri fontoj konsentas pri la tempstampo, vi havas la posedanton de la tempigilo. Se nur la klienta protokolo enhavas ion, la servilo verŝajne ne estas tiu, kiu finas la seancon.
Riparu la etapon, ne la ikonon
Ĉiu posedanto havas unu subtenatan riparon. Ŝlosilreŝanĝa difekto bezonas kongruajn proponojn ĉe ambaŭ finoj. Senokupa eksvalidiĝo bezonas vivsignalon aŭ pli mallongan senokupan atendo, ene de tio, kion permesas la vojo. Lua okazo bezonas ĝustigon de la interfacaj aŭ energiaj agordoj. Konta limo estas politika decido, ne cimo.
Malŝalti ŝlosilreŝanĝon aŭ aŭtentikigon por teni la ikonon verda interŝanĝas videblan falon kontraŭ nevidebla malforto, kaj ĝi lasas vin nekapabla diri, kiam la tunelo lastfoje intertraktis freŝajn ŝlosilojn. Poste retestu la originan daŭron kaj konservu la tempstampojn, por ke la sekva okazo povu esti komparita kun ĉi tiu anstataŭ komenci de nulo.