SSH VPNan minuturo eteten da? Ez da keepalivea

SSH konektatu egiten da, minutu inguru funtzionatzen du eta gero gutxi gorabehera tarte berean izozten da beti. Ohiko azalpena idle timeout bat da, beraz jendeak MTU jaisten du eta bezeroaren keepaliveak ezartzen ditu. Landu nuen WireGuard esteka hori guztia jada pasata zegoen: tunel MTU txikiagoa, client-alive ezarpenak, konfiguratutako tunel keepalivea. Etendurak aldaketarik gabe jarraitu zuen. Kausa LAN bide asimetrikoa zen, eta eredua ezagutzea merezi du, tenporizadoreetan oinarritutako edozein konponketa garaitzen duelako.

Keepalive batek zure ostalaria oraindik bidaltzeko prest dagoela frogatzen du. Ezin du egoera gordetzen duen gailu batek inoiz zeharkatzen ez duen erantzun bat ikus dezan egin.

Mitoa: keepaliveek etendura isila konpontzen dute

SSH keepaliveak zeregin bakarrerako daude: isiltasuna kontatzen duen zerbait saio inaktibo bat ez dezan garbitu. Hori ondo egiten dute. Ez dute konpontzen norabide batean lehen paketea ikusi eta gero inoiz erantzuna ikusi ez zuen egoera duen gailuaren kasua, bezeroak bidaltzen duen ezerk ez baitu aldatzen erantzunak zein interfaze erabiltzen duen.

MTU aldatzea beste konponketa ezaguna da, eta huts egiteko modu bera du. MTU jaisteak zatiketari eta bide-MTU arazoei laguntzen die, eta bide bati ez dio ezer egiten. Zure tenporizadoreak eta MTU jada zentzuzkoak badira eta etendura tarte errepikagarrian badago oraindik, tarteak nonbait dagoen timeout bati buruz hitz egiten dizu, ez paketearen tamainari buruz. Idatzi tartea eta alderatu bideko gailu bakoitzeko egoera-timeout-ekin.

Seinalea erregulartasuna da, tarte horren barruan erabilgarri jarraitzen duen saio batekin batera. Idle timeout-ek jotzen dute ezer gertatzen ez denean; honek idazten ari zaren bitartean jotzen du.

Zer egiten duen benetan aparteko atebideak

Jarri ordenagailu eramangarria eta VPN atebidea LAN berean, LAN suebaki bereizi bat atebide lehenetsi gisa. Ordenagailuak VPNra doan trafikoa suebakira bidaltzen du, suebakiak atebidera birbidaltzen du, eta atebidearen erantzunak zuzenean itzultzen dira LANetik ordenagailura. Bigarren hanka hori ez da inoiz suebakitik pasatzen, beraz haren egoera-taulak konexio erdia mantentzen du.

Beheko helbideek antolaketa hori islatzen dute:

Laptop:             192.168.50.20
LAN firewall:       192.168.50.1
WireGuard gateway:  192.168.50.10
Remote VPN subnet:  10.77.0.0/24

Birbideratzeek eta egoeraren kudeaketak funtzionatzen duen handshake bat geroago hiltzen den konexio bihurtzen dute, berehala beharrean. Atzerapena egoera-sarrera zahartzea edo kontrol zorrotzago bat huts egitea da, eta horregatik dirudi tarteak hain mekanikoak.

Horietako ezer ez da bezeroaren konfigurazioan agertzen, eta horregatik hasten da haren bilaketa fitxategi okerrean.

Aukeratu bide deliberatu bat

Goiko antolaketarako, urrutiko azpisarea zuzenean VPN atebidera bideratzeak konexio erdia kentzen du:

sudo ip route add 10.77.0.0/24 via 192.168.50.10
ip route get 10.77.0.42

Helbide horiek adibidekoak dira. Hurrengo jauzia zure LANean iristeko modukoa izan behar da, aurrizkia aurreikusitako urrutiko sarea izan behar da, eta bigarren komandoak emaitza erakusten dizu harekin fidatu aurretik. Atebidea zure azpisarean ez badago, bide hau ez da nahi duzun konponketa.

Suebakiak sistema horien arteko trafikoa zaintzeko bada, haren inguruan bideratzea diseinu okerra da. Egin bi norabideak muga zeharka dezaten eta konfiguratu alde bakoitzeko bideak itzulera-bidea bat etor dadin. Helburua bide deliberatu bakarra da, ez egoera-kontrol gutxiago.

Netgate-ren bideratze asimetrikoari buruzko oharrak interfaze mailako asimetria bera eta sortzen dituen egoera-arazoak deskribatzen dituzte, beraz irakurri itzazu egoeraren kudeaketa globalki lasaitu aurretik. Kasu honen antzeko deskonexio tenporizatuek ez dira berez froga. Hartu artikulua hutsegite modu baten deskribapen gisa, eta gero frogatu zure sare propioa harekin bat datorrela egoera-politika globala aldatu aurretik.

Probatu bi muturretatik

Irakurri ordenagailuaren bidea helmugarantz eta helmugaren bidea ordenagailurantz; bi erabaki bereizi dira eta ziurrenik horietako bat da okerra. Atebidetik bertatik arrakasta duen ping batek arazoa erabat ezkuta dezake, bidea jada zuzena duen makinan sortzen baita. Saio errealaren bi muturrek ikusten dituzten bi norabideak behar dituzu.

Konponketaren ondoren, ireki berriro SSH eta mantendu saioa lehen huts egiten zuen tarte askoz harago zabalik. Gero egin bidea iraunkor sare-konfigurazio onartuan, behin-behineko komando bat ez baita berrabiarazteko plana eta arazoa hurrengo berrabiaraztean itzuliko baita misterio berri batekin.

Noiz dagoen ondo asimetria

Bideratze asimetrikoa normala da sare askotan eta ez dago hondatuta definizioz. Arazo bihurtzen da egoeraren jarraipena, itzulpena edo politika ikusten ez duten bide bat ikustearen mendekoak direnean, eta horietako bakoitzak erremedio desberdina du. Egiaztatu erdiko gailuak zer eskatzen duen benetan haren inguruan birformulatu aurretik.

Erantzun iraunkorrak bi bideak izendatzen ditu, biak ikusi behar dituen gailua eta hori posible egiten duen bidea. Gailua izendatzeko gai ez bazara, oraindik ez duzu kausa aurkitu.