Kial vpnc malkonektiĝas post 24 minutoj kaj kion ŝanĝi

Via tunelo mortas je ripeta intervalo, kaj tio estas tempigilo raportanta sin mem, ne difekta kablo. Dudek kvar minutoj estas 1440 sekundoj, la speco de ronda valoro kiun portas profilo aŭ politiko de la ĉefpunkto. La sama agordo poste malsukcesas kontraŭ la sama koncentrilo ĉiufoje dum ĉiu alia reto funkcias, kaj neniu liga testado tion ŝanĝas.

Tri kondiĉoj decidas kiun tempigilon vi havas: ĉu la kliento rezignas senaktivan sesion, ĉu la ŝlosilrenoviga interŝanĝo estas rifuzata, kaj ĉu traduka pordego reverkis la enkapsuligon.

Kiun tempigilon posedas la falo

Mezuru la intervalon tra almenaŭ tri rekonektoj antaŭ ol tuŝi agordon. Disvastiĝo de sekundoj indikas ligan perdon aŭ sendratan vagadon; valoro kiu ĉiufoje trafas ene de kelkaj sekundoj de la sama marko indikas politikan valoron. Sesilongo ankaŭ diras kiu finis ĝin, ĉar tempolimo ĉe la klienta flanko kaj forigo ĉe la servila flanko lasas malsamajn finajn liniojn en la sencimiga eligo. Tri rekonektoj ankaŭ malkaŝas ĉu la intervalo entute drivas, kion unu mezurado ne povas montri.

Skribu la nombron apud la ĉefpunkto kun kiu vi parolis. Post kiam la intervalo stabiliĝos, la restanta laboro estas elekti inter tri kaŭzoj, kaj unu ŝanĝita agordo por rekonekto estas tio kio tenas ilin distingeblaj.

Kazo unu: la kliento forlasas senaktivan sesion

vpnc rulas sian propran kontrolon de mortinta samtavolano, kaj tiu kontrolo povas mortigi sesion kiun la koncentrilo ankoraŭ kredas viva, precipe kiam traduka pordego sidas inter la du. La klientflanka rimedo en la dokumentaro estas malŝalti la tempigilon loke kaj lasi la ĉefpunkton decidi kiam samtavolano foriris. Ambaŭ linioj sube apartenas al la vpnc-profilo aŭ al la komandlinio, kaj ambaŭ sendependas de la ĉifraj agordoj.

DPD idle timeout (our side) 0
NAT Traversal Mode cisco-udp

Malŝalti la klientan DPD forigas falsan pozitivon kaj ankaŭ forigas vian solan lokan detekton, do apliku ĝin sole kaj observu ĉu la intervalo entute ŝanĝiĝas.

Kazo du: la ŝlosilrenovigo estas rifuzata

Se la intervalo postvivas la DPD-ŝanĝon, la ŝlosilrenovigo de fazo 1 fariĝas la kandidato. Pli malnovaj vpnc-konstruaĵoj traktis renovigon malpli zorge ol nunaj, kaj la Diffie-Hellman-grupo estas la kutima malkonsento. Devigi grupon kiun la ĉefpunkto jam akceptas kostas unu linion kaj unu rekonekton, kio faras ĝin malmultekosta eksperimento anstataŭ politika ŝanĝo.

IKE DH Group dh5

Validaj grupnomoj estas dh1, dh2 kaj dh5. Grupo kiun la koncentrilo rifuzas produktas tujan malsukceson, kaj tio ankoraŭ estas informo: ĝi diras al vi ke la ĉefpunkto estas postulema kaj ke la origina grupo probable estis ĝusta.

Kazo tri: tradukado reverkas la enkapsuligon

Malantaŭ traduka pordego, la UDP-enkapsuligo de Cisco kaj la normbazita reĝimo ne estas interŝanĝeblaj. La malĝusta elekto ofte produktas tunelon kiu establiĝas, pasigas trafikon kaj poste tempolimas sub ŝarĝo, kio legiĝas kiel bendlarĝa problemo kaj ne estas. Ŝanĝu nur la reĝimon, poste rekonektu kaj remezuru la falon. Provu la alian reĝimon nur post kiam la unuaj du kazoj estas ekskluditaj.

Fasadoj aldonas sian propran konfuzon ĉi tie. NetworkManager ne proponos vpnc-ligan tipon ĝis la kromaĵa pako estos instalita, kaj mankanta kromaĵo aperas kiel grizigita butono Aldoni anstataŭ kiel eraro. La fasado de KDE tenas la samajn valorojn en propra profilo, do konfirmu ke la demono legas tion kion vi redaktis.

Profilo kiu bone konektiĝas el la komandlinio sed ne el la labortablo estas fasada problemo, ne tempigila problemo.

Kontrolu la interŝanĝon kiu malsukcesas antaŭ la tria ŝanĝo

Rulu la klienton kun sencimiga eligo kaj legu la lastan interŝanĝon antaŭ la falo. Forigo de fazo 1 tuj antaŭ la malkonekto signifas ke la kliento renovigis ŝlosilojn kaj estis rifuzita. Forigo de fazo 2 en la sama punkto signifas ke la tunelo estis malkonstruita de la alia flanko, kaj viaj klientaj agordoj ne estas la kaŭzo.

vpnc --debug 3 office

Kontrolu ankaŭ duan retan demonon kiam la tunelo postvivas sed la trafiko haltas. Du administriloj skribantaj la enkursigan tabelon produktas la saman simptomon el la labortablo kaj tute alian protokolon.