چرا VPN شما هر بار که کلیدها می‌چرخند قطع می‌شود
تونلی که طبق یک برنامه زمانی می‌میرد معمولاً در تبادل تجدید، نه در دست‌دادن اولیه، شکست می‌خورد. پیشنهادها، اعتبارنامه‌ها و وضعیت جایگزینی را مقایسه کنید.
اتصال یک ساعت کار می‌کند و سپس می‌میرد، و کلاینت چیزی سودمندتر از disconnected گزارش نمی‌کند. همان دوره سرنخ است، چون چیزی در تبادل تجدید با دست‌دادن اولیه تفاوت دارد. زمان‌سنج فقط تعیین می‌کند که کِی با آن روبه‌رو می‌شوید. پیام‌های آن تبادل را به‌جای برچسب نهایی ذخیره کنید.
مرحله را بخوانید، نه برچسب را
در IKEv2، تداعی IKE و تداعی CHILD بر اساس زمان‌بندی‌های جداگانه تجدید می‌شوند. پیشنهادی که برای نخستین مذاکره پذیرفتنی بود به‌طور خودکار برای دومی پذیرفتنی نیست. یکی می‌تواند کامل شود در حالی که دیگری رد می‌شود، که تونلی نیمه‌موجود می‌سازد. تبادل را با ابزاری که مالک آن است ثبت کنید نه با یک خط گزارش کلاینت:
swanctl --list-sas
swanctl --log --level 2
ip xfrm state listبرای OpenVPN، رویداد معادل یک بازمذاکره است که نسخه و تنظیمات استقرار آن را کنترل می‌کنند. رفتار احراز هویت آن حالت‌های شکست خودش را دارد. پیامی که مهم است مرحله شکست‌خورده را نام می‌برد، و باید آن را عیناً ثبت کنید نه اینکه در یک تیکت بازنویسی کنید.
مُهرهای زمانی را هم بنویسید. قطع شدن در یک فاصله ثابت پس از آخرین مذاکره موفق یافته‌ای کاملاً متفاوت از قطعی است که به‌طور تصادفی در حین استفاده می‌رسد، و فاصله غالباً تنها شاهدی است که باقی می‌ماند.
پیشنهادی را که شکست می‌خورد مقایسه کنید
پیشنهاد ردشده پیام روشنی روی پاسخ‌دهنده تولید می‌کند. علت معمول تفاوتی بین دو سر در الگوریتم، طول کلید، گروه یا عمر است. مذاکره اولیه CHILD ممکن است موفق شده باشد چون طرف دیگر آن را آغاز کرده بود، یعنی از فهرست پیشنهادهای طرف دیگر استفاده کرده است. پیش از تغییر هر چیزی به هر دو سر نگاه کنید.
ناهمخوانی عمر شایسته توجه ویژه است، چون ارزشی که در یک سر سخاوتمند به نظر می‌رسید می‌تواند سر دیگر را به آغاز تجدیدی وادار کند که نمی‌تواند کاملش کند. مستندات رفتار بازتولید کلید توضیح می‌دهد که تجدید تداعی چگونه آغاز می‌شود و دو سر چگونه می‌توانند در انتظارات زمانی خود تفاوت داشته باشند. آنچه هر سر ادعا می‌کند پشتیبانی می‌کند را مقایسه کنید، نه آنچه فایل پیکربندی پیشنهاد می‌کند.
یک پروفایل قدیمی یا قالب ارائه‌دهنده می‌تواند پیشنهادی را سنجاق کند که نسخه فعلی دیگر آن را ارائه نمی‌دهد. ناهمخوانی تنها زمانی آشکار می‌شود که یک مذاکره تازه تحمیل شود.
مشکل اعتبارنامه را از همتای دست‌نیافتنی جدا کنید
تجدیدی که در احراز هویت شکست می‌خورد در کلاینت شبیه و روی سرور کاملاً متفاوت به نظر می‌رسد. اگر اعتبارنامه در بازمذاکره دوباره بررسی شود، گواهی منقضی، حساب لغوشده یا گذرواژه تغییرکرده دقیقاً در فاصله تجدید قطعی تولید می‌کند، در حالی که همه اتصال‌های پیشین موفق بودند. همتای دست‌نیافتنی احتمال سوم است و هیچ ردی تولید نمی‌کند: بسته‌ها بیرون می‌روند و چیزی پاسخ نمی‌دهد. آن حالت معمولاً از تغییر شبکه پیروی می‌کند نه از زمان‌سنج، پس بررسی کنید که آیا شکست پس از رومینگ، دوره بی‌کاری یا تغییر مسیر رخ می‌دهد.
سه حالت را با آنچه سر دور ثبت کرده از هم جدا کنید. رد همراه با دلیل، شکست احراز هویت و سکوت سه اصلاح متفاوت‌اند. راه‌اندازی دوباره کلاینت آن‌ها را در یک مشاهده بی‌فایده فرو می‌ریزد.
پیش از سرزنش شبکه، تاریخ‌های گواهی و وضعیت حساب را بررسی کنید. هر دو ارزان قابل بررسی‌اند و هر دو در پیام خود کلاینت نامرئی‌اند.
یک تجدید را تحمیل کنید و نتیجه را بخوانید
یک تجدید را با روش پشتیبانی‌شده اپراتور تحمیل کنید نه اینکه یک ساعت برای بعدی صبر کنید. سیاست شکست لازم را در حین انجام این کار دست‌نخورده نگه دارید. خاموش کردن بررسی یا کشیدن عمرها به یک روز نشانه را بدون اصلاح هیچ چیز از گزارش‌های شما محو می‌کند. همچنین یک قطع طولانی‌تر را برای نفر بعدی باقی می‌گذارد.
وقتی اصلاح در جای خود بود، تونل تجدیدنظرشده را بررسی کنید و سپس درخواست تازه‌ای از برنامه بفرستید. نشست برنامه‌ای که هنگام تغییر تداعی زنده بود ممکن است بازیابی خودش را لازم داشته باشد، حتی اگر تونل دوباره سالم باشد. کاربران این را به‌عنوان VPN هنوز خراب گزارش می‌کنند.
نسخه‌های انتشار، زمان‌سنج‌های مذاکره‌شده و مرحله‌ای که شکست خورد را ثبت کنید. تکرار بعدی آنگاه می‌تواند با این مقایسه شود نه اینکه دوباره از حافظه توصیف شود.