Kial Azure OpenVPN-tunelo falas proksimume ĉiun sesdekan sekundon
Tunelo, kiu falas ĉiun sesdekan sekundon, finis sian manpremon, do nenio blokas ĝin. Legu unue la kialon de la malkonekto, poste komparu ambaŭ keepalive-temporigilojn.
La tunelo finas sian manpremon, portas trafikon dum proksimume minuto, kaj poste rekonektiĝas. Tiu sinsekvo ekskludas la kutiman suspektindon, ĉar fajroŝirmilo, kiu blokus la pordon, estus haltiginta la manpremon kaj ne la seancon. Kion vi havas, estas malkonsento pri vivkapablo: unu flanko decidis, ke la alia silentis, kaj malkonstruis funkciantan tunelon. La protokola linio diras kiun flankon, kaj ĝi elektas la riparon.
Legu tiun linion antaŭ ol tuŝi ajnan temporigilon.
La mito: io sur la vojo blokas la tunelon
Se pordo estus blokita, la konekto malsukcesus komence kaj restus malsukcesa. Ripetiĝanta ciklo signifas, ke kontrolmesaĝoj fluas, seancoj establiĝas, kaj io pli poste en la konversacio daŭre eksvalidiĝas. Blokado produktas silenton, kaj ĉi tio produktas ritmon.
La ritmo estas la utila postsigno. Temporigiloj produktas ĝin; paketa perdo malofte.
Legu la kialon de la malkonekto antaŭ la temporigilo
OpenVPN nomas sian kialon, kaj ĉiu nomo montras al alia subsistemo. Session invalidated: KEEPALIVE_TIMEOUT estas eksvalidiĝanta temporigilo, do komparu la valorojn de ping kaj ping-restart ĉe ambaŭ finoj. AUTH_FAILED estas akreditaĵoj aŭ atestila stato, kaj neniu ŝanĝo de temporigilo helpos. TLS-eraro signifas, ke la partneroj tute ne atingis la keepalive-fazon.
Notu la konektan tempon, la malkonektan tempon, kaj ĉu la intervalo estas stabila ĝis la sekundo. Tiu sola mezurado apartigas agorditan horaron disde koincido.
Stabila intervalo estas temporigilo. Drivanta estas pli verŝajne voja problemo aŭ ŝovita seanco.
Du keepalive-temporigiloj, kiuj neniam interkonsentis
Profiloj elportitaj el la portalo foje ankoraŭ portas liniojn kiel keepalive aŭ ping-restart kopiitajn el ŝablono de komunuma servilo. La enirejo faras sian propran detekton de mortinta partnero kaj trudas siajn proprajn atendojn, kaj la du horaroj ne devas kongrui. Kiam ili malakordas, la kliento restartiĝas laŭ horaro, al kiu la enirejo neniam konsentis.
La du valoroj ne estas la sama regilo. ping estas kiom ofte la kliento sendas eĥon, kaj ping-restart estas kiom longe ĝi atendas sen aŭdi ion antaŭ ol malkonstrui la tunelon. Profilo, kiu agordas mallongan ping-restart, kaj enirejo, kiu respondas malrapide, restartiĝos dum ĉiu silenta periodo, kio estas ĝuste la formo de unuminuta ciklo.
La plej malgranda ŝanĝo ĉe la kliento estas neŭtraligi la temporigilojn ĉe la plej supra nivelo de la profilo, ekster ĉiu enlinia bloko:
keepalive 0 0Konservu, reŝargu la profilon, rekonektiĝu. Seanco jam en la memoro konservas la malnovajn valorojn, kaj tial la redakto foje aspektas, kvazaŭ ĝi faris nenion.
La atestila nomo povas moviĝi sub viaj piedoj
Azure-atestila aŭtentikigo dependas de tio, ĉu la kliento fidas la nomon, kiun la enirejo prezentas hodiaŭ. Linio verify-x509-name en pli malnova elŝuto povas fiksi nomon, kiun rekonstruo de la enirejo aŭ renovigo de atestilo ekde tiam ŝanĝis, kaj la malkongruo aperas kiel rekonekta buklo anstataŭ klara eraro. Forigi la linion restarigas konektecon, kio faras ĝin bona diagnozaĵo kaj malbona daŭra riparo, ĉar ĝi ankaŭ forigas la kontroladon. Post kiam la tunelo teniĝas, restarigu la linion kun la nomo, kiun la enirejo efektive prezentas.
Testu duan generacion de kliento sur la sama maŝino antaŭ ol redakti la enirejon. Se unu kliento buklas kaj la alia teniĝas, la profilo ne estas la problemo.
Kion ŝanĝi, kaj laŭ kiu ordo
Poste kontrolu ŝovitan seancon. Du aparatoj, kiuj kunhavas unu atestilon, povas elpuŝi unu la alian, kaj la rezulto aspektas perioda, ĉar ambaŭ flankoj daŭre rekonektiĝas. Komparu la seancojn de punkto-al-loko por la sama identeco, kiu aperas denove kaj denove.
Poste testu la senaktivan vojon per kontinua trafiko dum pluraj minutoj. Se la faloj ĉesas dum trafiko fluas, la grava temporigilo apartenas al NAT-aparato aŭ ŝarĝbalancilo sur la vojo, ne al OpenVPN.
La agordoj de la enirejo ŝanĝiĝu nur post tiuj kvar testoj.