Zergatik Azure OpenVPN tunel bat gutxi gorabehera hirurogei segundoro erortzen den

Tunelak eskua ematen du, minutu inguru darama trafikoak eta gero berriro konektatzen da. Segida horrek susmagarri ohikoa baztertzen du, portua blokeatuko lukeen suebaki batek eskua ematea geldituko baitzukeen, ez saioa. Daukazuna bizitasunari buruzko desadostasuna da: alde batek erabaki zuen bestea isildu egin zela eta funtzionatzen zuen tunela bota zuen. Erregistroko lerroak zein alde den esaten du, eta horrek aukeratzen du konponbidea.

Irakurri lerro hori edozein tenporizadori ukitu aurretik.

Mitoa: bidean zerbait dago tunela blokeatzen

Portua blokeatuta egongo balitz, konexioak hasieran huts egingo luke eta huts egiten jarraituko luke. Errepikatzen den ziklo batek esan nahi du kontrol mezuak isurtzen ari direla, saioak ezartzen ari direla, eta elkarrizketaren geroago zerbait etengabe iraungitzen ari dela. Blokeoak isiltasuna sortzen du, eta honek erritmoa sortzen du.

Erritmoa da arrastoa erabilgarriena. Tenporizadoreek sortzen dute; pakete galerak gutxitan.

Irakurri deskonexioaren arrazoia tenporizadorearen aurretik

OpenVPN bere arrazoia izendatzen du, eta izen bakoitzak azpisistema desberdin bat seinalatzen du. Session invalidated: KEEPALIVE_TIMEOUT iraungitzen ari den tenporizadore bat da, beraz alderatu ping eta ping-restart balioak bi muturretan. AUTH_FAILED kredentzialak edo ziurtagiriaren egoera da, eta tenporizadore aldaketak ez du lagungarri izango. TLS errore batek esan nahi du alderdiek ez zutela keepalive fasera iritsi ere egin.

Erregistratu konexio ordua, deskonexio ordua eta tartea segundo zehatzera egonkorra den. Neurri bakar horrek konfiguratutako ordutegia kasualitate batetik bereizten du.

Tarte egonkorra tenporizadore bat da. Aldatzen dena bide arazo bat edo lekuz aldatu den saio bat izateko aukera handiagoa da.

Inoiz ados jarri ez ziren bi keepalive tenporizadore

Ataritik esportatutako profilek batzuetan komunitate zerbitzari baten txantiloitik kopiatutako keepalive edo ping-restart lerroak daramatzate oraindik. Ateak bere hildako parearen detekzioa egiten du eta bere itxaropenak inposatzen ditu, eta bi ordutegiek ez dute bat etorri behar. Desadostasuna dagoenean, bezeroa ateak inoiz onartu ez zuen ordutegi baten arabera berrabiarazten da.

Bi balioak ez dira kontrol bera. ping bezeroak oihartzun bat zenbatero bidaltzen duen da, eta ping-restart tunela bota aurretik ezer entzun gabe zenbat itxaroten duen. ping-restart laburra duen profil batek eta poliki erantzuten duen ate batek isiltasunaldi bakoitzean berrabiaraziko dute, eta hori da zehazki minutuko ziklo baten forma.

Bezeroaren aldeko aldaketarik txikiena profilaren goiko mailan tenporizadoreak neutralizatzea da, lerroan sartutako bloke bakoitzetik kanpo:

keepalive 0 0

Gorde, berriro kargatu profila, berriro konektatu. Dagoeneko memorian dagoen saio batek balio zaharrak gordetzen ditu, eta horregatik batzuetan edizioak ez du ezer egin izan balitz dirudi.

Ziurtagiriaren izenak zure oinen azpitik mugi daiteke

Azure ziurtagiri bidezko autentifikazioak bezeroak gaur atea aurkezten duen izenari konfiantza dion ala ez du oinarri. Deskarga zaharrago bateko verify-x509-name lerro batek atea berreraiki edo ziurtagiri bat berritu zenean aldatutako izen bat finka dezake, eta desegokitasuna berrikonexio begizta gisa agertzen da, ez errore argi gisa. Lerroa ezabatzeak konektibitatea berreskuratzen du, eta horrek diagnostiko ona eta konponbide iraunkor txarra bihurtzen du, egiaztapena ere kentzen baitu. Tunela eusten denean, leheneratu lerroa atea benetan aurkezten duen izenarekin.

Probatu bigarren bezero belaunaldi bat makin berean atea editatu aurretik. Bezero batek begizta egiten badu eta besteak eusten badu, profila ez da arazoa.

Zer aldatu, eta zein ordenatan

Egiaztatu hurrena lekuz aldatutako saio bat dagoen. Ziurtagiri bat partekatzen duten bi gailuk elkar bultzatu dezakete, eta emaitzak periodikoa dirudi bi aldeek berriro konektatzen jarraitzen dutelako. Konparatu puntutik gunerako saio erregistroak identitate bera behin eta berriz agertzen dela.

Gero probatu bide inaktiboa minutu batzuetan zehar trafiko jarraitua exekutatuz. Tanta egiteak gelditzen badira trafikoa isurtzen ari den bitartean, garrantzitsua den tenporizadorea bidean dagoen NAT gailu batena edo karga-balantzagailu batena da, ez OpenVPN-ena.

Atearen ezarpenak lau proba horien ondoren baino ez lirateke aldatu behar.