VPN katkeb sama intervalliga? Sobita taimer
Kindla intervalliga katkemine on sõrmejälg. Enne millegi muutmist võrrelge tunneli võtmeuuendust, NAT-i jõudetaimerit, DHCP rendilepingut ja konto piirangut.
Tunnel, mis sureb iga viieteistkümne minuti järel või iga tund samal minutil, ütleb teile, et mõni taimer aegus, mitte et võrk on ebastabiilne. Kasulik samm on intervall üles kirjutada ja võrrelda seda nelja taimeriga, mis seda mustrit tekitavad. Aegade muutmine enne seda võrdlust liigutab tavaliselt riket ilma seda selgitamata, mis teeb järgmise juhtumi lugemise raskemaks kui esimese. Mõõtmine võtab kümme minutit ja asendab nädala oletusi.
Muutke intervall numbriks
Koguge viis või kuus juhtumit ja arvutage nendevaheline vahe, mitte vahe päeva algusest. Katkemine kell 09:12, 10:12 ja 11:12 on tunni piir; katkemine kell 09:12, 09:27 ja 09:42 on viisteist minutit viimasest õnnestunud ühendusest. Ümardage tulemus kõige tõenäolisema taimerini, mitte lähima minutini.
Märkige iga sündmuse kohta kaks hetke: millal liikus liiklus viimati ja millal klient katkemisest teatas. Need erinevad, kui tunnel sureb vaikselt ja klient märkab seda alles järgmisel saatmisel, ja just see erinevus eristab jõudetaimerit kõvast rikkest. Hilja märkav klient paisutab jõudeakna, mida mõõdate.
Pange tähele, kas taasühendus on automaatne. Klient, mis ühendub uuesti sekundite jooksul, hoiab intervalli logis nähtavana ja kasutajateatest väljas, mistõttu kirjeldatakse neid rikkeid sageli juhuslike, mitte perioodilistena. See varjab sündmust ka inimese eest, kes sülearvutit kasutab.
Neli taimerit, mis näevad ühesugused välja
Peaaegu iga korduv tunneli kukkumine tuleb ühest neist: protokolli võtmeuuendus, jõudeoleku vastenduse aegumine, DHCP või liidese sündmus või konto poliitika. Need erinevad selle poolest, kas liiklus liikus, ja selle poolest, mida logi piiril ütleb.
Allpool olevaid signatuure tasub õppida, sest need lasevad ühe logirea põhjal kolm seletust tagasi lükata:
| Timer | Typical trigger | What the log shows at the boundary |
|---|---|---|
| Protocol rekey | Traffic present, fixed interval | Negotiation lines, sometimes a failure |
| NAT or firewall idle | No traffic for minutes | Silence, then a timeout on send |
| DHCP lease or link change | Half the lease, or a radio event | Address or interface churn |
| Account session limit | Wall-clock hours since login | Clean disconnect, server-side reason |
Esimene rida on turvamehhanism, mis teeb oma tööd, ja teine on vahepealne seade, mis unustab oleku. Nende segamini ajamine viib kas võtmeuuenduse nõrgendamiseni või tulemüüri reegli tagaajamiseni, mis ei olnud kunagi mängus.
Hõivatud versus jõude ütleb teile, milline pool
Tehke kontrollitud võrdlus pideva liiklusega, näiteks pikk voog tunnelisisesele hostile, ja jälgige, kas intervall muutub. Kui katkemine kaob andmete liikumise ajal, põhineb taimer jõudeolekul.
Kui see peab pidevale liiklusele vastu, kuulub põhjus võtmeuuenduse, rendilepingu või poliitika alla. See üks test eemaldab umbes tunni vaatluse jooksul pooled kandidaadid ja ei maksa midagi peale tähelepanu.
Hoidke juurdepääsuvõrk testi ajal muutumatuna. Wi-Fi ja Etherneti vahel vahetamine võrdluse keskel toob sisse täpselt selle liidese sündmuse, mida püüate taimerist eristada.
Sobitage logirida piiriga
Lugege kliendi ja serveri logisid salvestatud hetke ümbruses, mitte tervet faili. Võtmeuuendus näitab läbirääkimist; jõudeoleku aegumine ei näita midagi kuni järgmise paketini; rendilepingu muutus näitab aadressitööd; poliitika piirang näitab tavaliselt puhast halduslikku katkestust.
Need käsud tõmbavad igast allikast välja asjakohase akna:
grep -iE "reneg|TLS Error|Inactivity" /var/log/openvpn.log | tail -20
journalctl -u NetworkManager --since "-90 min" | grep -iE "dhcp|link"
wg showKui kolm allikat nõustuvad ajatempliga, teate taimeri omanikku. Kui ainult kliendi logis on midagi, siis tõenäoliselt ei lõpeta seanssi server.
Parandage etapp, mitte ikoon
Igal omanikul on üks toetatud parandus. Võtmeuuenduse rike vajab mõlemas otsas ühilduvaid ettepanekuid. Jõudeoleku aegumine vajab hoiatusignaali või lühemat jõudeootust tee lubatud piires. Rendilepingu sündmus vajab liidese või toite seadete korrastamist. Konto piirang on poliitika otsus, mitte viga.
Võtmeuuenduse või autentimise väljalülitamine, et ikoon jääks roheliseks, vahetab nähtava katkemise nähtamatu nõrkuse vastu ja jätab teid ilma võimalusest öelda, millal tunnel viimati uusi võtmeid läbirääkis. Seejärel testige algset kestust uuesti ja hoidke ajatemplid, et järgmist sündmust saaks sellega võrrelda, selle asemel et otsast alata.