UDP bidezko VPNa gelditu egiten da inaktiboan: suebakiak zure fluxua ahaztu du

VPNak konektatzen du, denbora batez funtzionatzen du eta gero trafikoa pasatzeari uzten dio, bezeroak saio bat erakusten jarraitzen duen bitartean. Birkonektatzeak konpontzen du, eta horrek bezeroaren akatsa ematen du. Normalean UDP mapatze inaktiboa bota duen suebaki edo NAT gailu bat da, eta ez daki tunela oraindik badagoenik.

Sintoma nahiko koherentea da diagnostikatzeko: inaktibitatearen ondoren agertzen da, ez kargapean.

Nola ikusten den inaktibitate-geldialdia

Neurtu, ez deskribatu. Idatzi tunelea zenbat denboraz egoten den inaktibo trafikoa gelditu aurretik, irteerako pakete berri batek biziberritzen duen eta bezeroaren interfazeak bere helbidea mantentzen duen. Bezeroaren eskaera berri batek funtzionatzen badu baina lehendik dagoen fluxu bati erantzunak ez, mapatzea da susmagarria. Birkonektatu arte ezerk funtzionatzen ez badu, bezeroaren saio-egoera ere galdu da.

Biak inaktibitatearekin lotuta daude, eta konponbide desberdinak behar dituzte.

Idatzi denborak ezer aldatu aurretik. Hamar minutu inguru inaktibo egon ondoren gelditzen dela dioen txostena egiaztagarria da, baina ausaz erortzen dela dioena ez. Aldea horrek erabakitzen du tenporizadore baten edo bideratze-aldaketaren atzetik zoazen.

Aurkitu ahaztu duen gailua

Gailu batzuek fluxu beraren egoera gorde dezakete: router lokala, goragoko itzultzailea, hodei-muga eta ostalariaren suebakia. Bakoitzak bere tenporizadorea du, eta laburrenak irabazten du. Bost minutuko etenaldiak esan nahi du normalean gailu bat besteengandik askoz beherago dagoela konfiguratuta.

Ez ezazu pentsa dokumentatutako lehenetsia zure bideko denbora-muga denik. Gailu baten lehenetsia da.

• Etxeko routerra: sarritan minutuak, batzuetan askoz gutxiago.
• Hodeiko NAT edo karga-orekatzailea: bilatu UDPrako berariaz dokumentatutako inaktibitate-denborazko muga.
• Ostalariaren suebakia: netfilter-en jarraipen-tenporizadoreak fluxuko aplikatzen dira.

Egiaztatu tenporizadoreak benetako bidean

Linuxen, netfilter-en jarraipen-tenporizadoreak ikusgai eta doitagarriak dira: sysctl net.netfilter.nf_conntrack_udp_timeout eta net.netfilter.nf_conntrack_udp_timeout_stream. Bigarrena bi norabideetan trafikoa ikusi ondoren aplikatzen da, eta horregatik ezarritako tunele bat proba soil bat baino gehiago iraun dezake.

RFC 4787 dokumentuak UDP NATren portaera eta gutxieneko gomendioak ezartzen ditu. Saltzaile baten lehenetsia ohiz kanpo laburra dirudienean aipatzeko erreferentzia da.

Keepalive eta birkonexioa tresna desberdinak dira

Keepalive batek mapatzea bizirik mantentzen du; birkonexio batek hildako saioa berreraikitzen du. Hutsegite desberdinak konpontzen dituzte eta ez dira trukagarriak diren abiadura-ezarpenak. WireGuard-en PersistentKeepalive aukerak pakete bat bidaltzen du tarte finko batean NAT lotura irekita mantentzeko. OpenVPN-en keepalive aukerak lan bera egiten du bere modura. Batak ere ez du laguntzen erdiko gailuak fluxua jada ahaztu eta bi norabideak botatzen baditu.

Oso sarritan egindako probelek lana gehitzen dute muga okerra konpondu gabe.

Egiaztatu eskaera berri batekin, ez orria berritzearekin

Tenporizadore bat aldatu edo keepalive bat gehitu ondoren, errepikatu inaktibitate-egoera lehen bezalaxe. Ondoren, egin benetan eskaera berri bat estalitako aplikaziotik. Lehendik kargatutako nabigatzaile-fitxa batek cachetik errendatu dezake eta ez dizu ezer esango.

Geldialdiak jarraitzen badu, mugitu jauzi bat kanpora eta egiaztatu gailu horren egoera-taula.