Miks Azure OpenVPN tunnel kukub umbes iga kuuekümne sekundi järel

Tunnel lõpetab kätlemise, kannab liiklust umbes minuti ja ühendub seejärel uuesti. See järjestus välistab tavapärase kahtlusaluse, sest porti blokeeriv tulemüür oleks peatunud kätlemise, mitte seansi. Teil on tegemist elujõulisuse eriarvamusega: üks pool otsustas, et teine jäi vaikseks, ja lammutas töötava tunneli. Logirida ütleb, milline pool, ja see valib paranduse.

Lugege seda rida enne, kui puudutate ükskõik millist taimerit.

Müüt: midagi teel blokeerib tunneli

Kui port oleks blokeeritud, ebaõnnestuks ühendus alguses ja jääks ebaõnnestunuks. Korduv tsükkel tähendab, et juhtimisteated liiguvad, seansid luuakse ja midagi vestluse hilisemas osas aegub pidevalt. Blokeerimine tekitab vaikuse, ja see tekitab rütmi.

Rütm on kasulik vihje. Taimerid tekitavad selle; paketikaotus harva.

Lugege katkestamise põhjust enne taimerit

OpenVPN nimetab oma põhjuse ja iga nimi osutab erinevale alamsüsteemile. Session invalidated: KEEPALIVE_TIMEOUT on aeguv taimer, seega võrrelge ping ja ping-restart väärtusi mõlemas otsas. AUTH_FAILED on mandaadid või sertifikaadi olek ja ükski taimeri muudatus ei aita. TLS-i viga tähendab, et pooled ei jõudnud üldse keepalive-etappi.

Kirjutage üles ühendamise aeg, katkestamise aeg ja see, kas intervall on sekundipealt stabiilne. See üks mõõtmine eristab konfigureeritud ajakava juhuslikkusest.

Stabiilne intervall on taimer. Triiviv on tõenäolisemalt tee probleem või nihkunud seanss.

Kaks keepalive-taimerit, mis ei jõudnud kunagi kokkuleppele

Pordist eksporditud profiilid sisaldavad mõnikord endiselt ridu nagu keepalive või ping-restart, mis on kopeeritud kogukonnaserveri mallist. Lüüs teeb oma surnud partneri tuvastust ja surub peale oma ootused, ning kaks ajakava ei pea kokku langema. Kui need lahknevad, taaskäivitub klient ajakava järgi, millega lüüs kunagi nõus ei olnud.

Need kaks väärtust ei ole sama juhtimine. ping on see, kui sageli klient kajakaja saadab, ja ping-restart on see, kui kaua ta ootab ilma midagi kuulmata, enne kui tunneli lammutab. Profiil, mis seab lühikese ping-restart'i, ja lüüs, mis vastab aeglaselt, taaskäivituvad igal vaiksel perioodil, mis on täpselt üheminutilise tsükli kuju.

Väikseim muudatus kliendi poolel on neutraliseerida taimerid profiili ülemisel tasandil, väljaspool iga reasisest plokki:

keepalive 0 0

Salvestage, laadige profiil uuesti, ühenduge uuesti. Mälu juba olev seanss hoiab vanu väärtusi, mistõttu tundub muudatus mõnikord, nagu ei teeks see midagi.

Sertifikaadi nimi võib teie jalge all liikuda

Azure'i sertifikaadipõhine autentimine sõltub sellest, kas klient usaldab nime, mille lüüs täna esitab. Vanemas allalaadimises olev verify-x509-name rida võib kinnistada nime, mille lüüsi ümberehitus või sertifikaadi uuendamine on vahepeal muutnud, ja lahknevus ilmneb uuestiühendamise tsüklina, mitte selge veana. Rea kustutamine taastab ühenduvuse, mis teeb sellest hea diagnostika ja halva püsiva paranduse, sest see eemaldab ka kontrolli. Kui tunnel püsib, taastage rida nimega, mille lüüs tegelikult esitab.

Testige teist kliendipõlvkonda samas masinas enne lüüsi muutmist. Kui üks klient tsükleerib ja teine püsib, ei ole profiil probleem.

Mida muuta ja mis järjekorras

Järgmisena kontrollige nihkunud seanssi. Kaks seadet, mis jagavad ühte sertifikaati, võivad teineteist välja tõugata, ja tulemus näib perioodiline, sest mõlemad pooled ühenduvad pidevalt uuesti. Võrrelge punkt-koht-seansi kirjeid sama identiteedi kohta, mis ilmub ikka ja jälle.

Seejärel testige tühikäiguteed, lastes mitu minutit pidevat liiklust. Kui kukkumised lakkavad liikluse ajal, kuulub oluline taimer teel olevale NAT-seadmele või koormusjaoturile, mitte OpenVPN-ile.

Lüüsi seadeid tuleks muuta alles pärast neid nelja testi.