Miks sinu VPN kukub iga kord, kui võtmed roteeruvad

Ühendus töötab tund aega ja sureb siis, ning klient ei teata midagi kasulikumat kui disconnected. Just see periood on vihje, sest uuendusvahetuses erineb midagi esialgsest kätlemisest. Taimer otsustab ainult, millal sa sellega kokku puutud. Salvesta selle vahetuse sõnumid lõpliku sildi asemel.

Loe etappi, mitte silti

IKEv2-s uuendatakse IKE-assotsiatsiooni ja CHILD-assotsiatsiooni eraldi ajakavade järgi. Pakkumine, mis oli vastuvõetav esimeseks läbirääkimiseks, ei ole automaatselt vastuvõetav teiseks. Üks võib lõppeda, samal ajal kui teine lükatakse tagasi, mis loob tunneli, mis eksisteerib poolenisti. Jäädvusta vahetus selle omanik-tööriistaga, mitte kliendi logireaga:

swanctl --list-sas
swanctl --log --level 2
ip xfrm state list

OpenVPN puhul on samaväärne sündmus uuesti läbirääkimine, mida juhivad versioon ja juurutuseaded. Selle autentimiskäitumisel on oma vearežiimid. Oluline sõnum nimetab ebaõnnestunud etapi, ja sa peaksid selle kirja panema sõna-sõnalt, mitte seda pileti jaoks ümber sõnastama.

Pane kirja ka ajatemplid. Kukkumine kindla intervalliga pärast viimast edukat läbirääkimist on hoopis teine leid kui see, mis tuleb kasutamise ajal juhuslikult, ja intervall on sageli ainus tõend, mis jääb püsima.

Võrdle pakkumist, mis ebaõnnestub

Tagasilükatud pakkumine tekitab vastavas pooles selge sõnumi. Tavaline põhjus on kahe otsa erinevus algoritmis, võtme pikkuses, grupis või elueas. Esialgne CHILD-läbirääkimine võis õnnestuda, sest selle algatas teine pool, mis tähendab, et kasutati teise poole pakkumisnimekirja. Vaata mõlemat otsa enne, kui midagi muudad.

Eluea lahknevused väärivad erilist tähelepanu, sest ühes otsas heldena tundunud väärtus võib panna teise otsa alustama uuendust, mida see lõpetada ei suuda. Võtmeuuenduse käitumise dokumentatsioon kirjeldab, kuidas assotsiatsiooni uuendus käivitatakse ja kuidas kaks otsa võivad oma ajaootustes erineda. Võrdle, mida kumbki ots väidab end toetavat, mitte mida konfiguratsioonifail vihjab.

Vana profiil või teenusepakkuja mall võib kinnitada pakkumise, mida praegune väljalase enam ei paku. Lahknevus ilmneb alles siis, kui uus läbirääkimine on sunnitud.

Eralda volituste probleem kättesaamatust partnerist

Uuendus, mis ebaõnnestub autentimisel, näeb kliendis sarnane ja serveris täiesti erinev. Kui volitust kontrollitakse uuesti läbirääkimisel, tekitavad aegunud sertifikaat, tühistatud konto või muudetud parool kukkumise täpselt uuendusintervallil, samal ajal kui kõik varasemad ühendused õnnestusid. Kättesaamatu partner on kolmas võimalus ja see ei tekita üldse tagasilükkamist: paketid lahkuvad ja miski ei vasta. See juhtum järgib tavaliselt võrgu muutust, mitte taimerit, seega kontrolli, kas viga järgneb rändlusele, jõudeperioodile või marsruudi muutusele.

Erista kolme selle järgi, mida kaugem ots logis. Põhjusega tagasilükkamine, autentimise viga ja vaikus on kolm erinevat parandust. Kliendi taaskäivitamine surub need kokku üheks kasutuks tähelepanekuks.

Kontrolli sertifikaadi kuupäevi ja konto olekut enne võrgu süüdistamist. Mõlemat on odav kontrollida ja mõlemad on kliendi enda sõnumis nähtamatud.

Sunni üks uuendus ja loe tulemus

Sunni üks uuendus operaatori toetatud meetodiga, selle asemel et tund aega järgmist oodata. Hoia nõutav veapoliitika puutumata, kui seda teed. Kontrolli väljalülitamine või eluigade pikendamine päevani paneb sümptomi sinu logidest kaduma, ilma et midagi parandataks. See jätab ka pikema katkestuse järgmisele inimesele ootama.

Kui parandus on paigas, kontrolli uuendatud tunnelit ja tee siis rakendusest uus päring. Rakenduse sessioon, mis oli elus, kui assotsiatsioon muutus, võib vajada oma taastamist, isegi kui tunnel on jälle terve. Kasutajad teatavad sellest kui VPN-ist, mis on ikka katki.

Pane kirja väljalaskeversioonid, kokkulepitud taimerid ja etapp, mis ebaõnnestus. Järgmist kordumist saab siis sellega võrrelda, selle asemel et seda uuesti mälu järgi kirjeldada.