Por qué vpnc se desconecta a los 24 minutos y qué cambiar

Tu túnel muere con un intervalo repetible, y eso es un temporizador que se delata, no un cable defectuoso. Veinticuatro minutos son 1440 segundos, el tipo de valor redondo que lleva un perfil o una política del head-end. Luego la misma configuración falla contra el mismo concentrador cada vez mientras cualquier otra red funciona, y ninguna prueba de enlace lo cambia.

Tres condiciones deciden cuál temporizador es el tuyo: si el cliente abandona una sesión inactiva, si se rechaza el intercambio de renovación de claves y si una puerta de traducción ha reescrito la encapsulación.

Qué temporizador es dueño de la caída

Mide el intervalo a lo largo de al menos tres reconexiones antes de tocar un ajuste. Una dispersión de segundos apunta a pérdida de enlace o a itinerancia inalámbrica; un valor que cae cada vez dentro de unos segundos de la misma marca apunta a un valor de política. La duración de la sesión también dice quién la terminó, porque un tiempo de espera del lado del cliente y un borrado del lado del servidor dejan líneas finales distintas en la salida de depuración. Tres reconexiones también revelan si el intervalo deriva, algo que una sola medición no puede mostrar.

Apunta el número junto al head-end con el que hablabas. Una vez que el intervalo es estable, el trabajo restante es elegir entre tres causas, y cambiar un solo ajuste por reconexión es lo que las mantiene distinguibles.

Caso uno: el cliente abandona una sesión inactiva

vpnc ejecuta su propia comprobación de par muerto, y esa comprobación puede matar una sesión que el concentrador todavía cree viva, sobre todo cuando entre los dos hay una puerta de traducción. El remedio del lado del cliente en la documentación es apagar el temporizador localmente y dejar que el head-end decida cuándo un par se ha ido. Las dos líneas de abajo van en el perfil de vpnc o en la línea de comandos, y ambas son independientes de los ajustes de cifrado.

DPD idle timeout (our side) 0
NAT Traversal Mode cisco-udp

Desactivar el DPD del cliente elimina un falso positivo y también elimina tu única detección local, así que aplícalo solo y observa si el intervalo cambia del todo.

Caso dos: se rechaza la renovación de claves

Si el intervalo sobrevive al cambio de DPD, la renovación de claves de la fase 1 pasa a ser la candidata. Las versiones antiguas de vpnc trataban la renovación con menos cuidado que las actuales, y el grupo Diffie-Hellman es la discrepancia habitual. Forzar un grupo que el head-end ya acepta cuesta una línea y una reconexión, lo que lo convierte en un experimento barato y no en un cambio de política.

IKE DH Group dh5

Los nombres de grupo válidos son dh1, dh2 y dh5. Un grupo que el concentrador rechaza produce un fallo inmediato, y eso sigue siendo información: te dice que el head-end es exigente y que el grupo original probablemente era correcto.

Caso tres: la traducción reescribe la encapsulación

Detrás de una puerta de traducción, la encapsulación UDP de Cisco y el modo basado en estándares no son intercambiables. La elección equivocada produce a menudo un túnel que se establece, pasa tráfico y luego expira bajo carga, lo que se lee como un problema de ancho de banda y no lo es. Cambia solo el modo, luego reconecta y vuelve a cronometrar la caída. Prueba el otro modo solo después de descartar los dos primeros casos.

Las interfaces añaden aquí su propia confusión. NetworkManager no ofrecerá un tipo de conexión vpnc hasta que esté instalado el paquete del complemento, y un complemento ausente aparece como un botón Añadir en gris en lugar de un error. La interfaz de KDE guarda los mismos valores en un perfil propio, así que confirma que el demonio lee lo que has editado.

Un perfil que se conecta bien desde la línea de comandos pero no desde el escritorio es un problema de interfaz, no un problema de temporizador.

Verifica el intercambio que falla antes del tercer cambio

Ejecuta el cliente con salida de depuración y lee el último intercambio antes de la caída. Un borrado de fase 1 justo antes de la desconexión significa que el cliente renovó las claves y se le rechazó. Un borrado de fase 2 en el mismo punto significa que el túnel se desmontó desde el otro lado, y que tus ajustes de cliente no son la causa.

vpnc --debug 3 office

Comprueba también si hay un segundo demonio de red cuando el túnel sobrevive pero el tráfico se detiene. Dos gestores que escriben la tabla de rutas producen el mismo síntoma desde el escritorio y un registro completamente distinto.