VPN katkeaa samalla aikavälillä? Sovita ajastin
Katkos kiinteällä aikavälillä on sormenjälki. Vertaa tunnelin avainten uusintaa, NATin joutoajan ajastinta, DHCP-vuokraa ja tilin rajaa ennen kuin muutat mitään.
Tunneli, joka kuolee viidentoista minuutin välein tai joka tunti samalla minuutilla, kertoo jonkin ajastimen vanhentuneen, ei että verkko on epävakaa. Hyödyllinen liike on kirjoittaa aikaväli muistiin ja verrata sitä neljään ajastimeen, jotka tuottavat tämän kuvion. Aikakatkaisujen muuttaminen ennen tuota vertailua yleensä siirtää vian selittämättä sitä, mikä tekee seuraavasta tapahtumasta vaikeammin luettavan kuin ensimmäisestä. Mittaus kestää kymmenen minuuttia ja korvaa viikon arvailun.
Muunna aikaväli luvuksi
Kerää viisi tai kuusi tapahtumaa ja laske niiden välinen rako, ei rakoa päivän alusta. Katkos kello 09:12, 10:12 ja 11:12 on tuntiraja; katkos kello 09:12, 09:27 ja 09:42 on viisitoista minuuttia viimeisestä onnistuneesta yhteydestä. Pyöristä tulos todennäköisimpään ajastimeen, älä lähimpään minuuttiin.
Kirjaa kaksi hetkeä tapahtumaa kohden: milloin liikenne viimeksi liikkui ja milloin asiakas ilmoitti katkoksesta. Ne eroavat, kun tunneli kuolee hiljaa ja asiakas huomaa sen vasta seuraavalla lähetyksellä, ja juuri tuo ero erottaa joutoajan aikakatkaisun kovasta viasta. Myöhään huomaava asiakas paisuttaa mittaamaasi joutoajan ikkunaa.
Huomioi, onko uudelleenyhdistäminen automaattista. Asiakas, joka yhdistää uudelleen sekunneissa, pitää aikavälin näkyvissä lokissa ja poissa käyttäjän raportista, minkä vuoksi näitä vikoja kuvataan usein satunnaisiksi eikä säännöllisiksi. Se myös piilottaa tapahtuman henkilöltä, joka käyttää kannettavaa.
Neljä ajastinta, jotka näyttävät samalta
Lähes jokainen toistuva tunnelin putoaminen tulee yhdestä näistä: protokollan avainten uusinta, joutilaan kartoituksen vanheneminen, DHCP- tai liitäntätapahtuma tai tilikäytäntö. Ne eroavat siinä, oliko liikennettä, ja siinä, mitä loki sanoo rajalla.
Alla olevat allekirjoitukset kannattaa opetella, koska ne antavat hylätä kolme selitystä yhdestä lokirivistä:
| Timer | Typical trigger | What the log shows at the boundary |
|---|---|---|
| Protocol rekey | Traffic present, fixed interval | Negotiation lines, sometimes a failure |
| NAT or firewall idle | No traffic for minutes | Silence, then a timeout on send |
| DHCP lease or link change | Half the lease, or a radio event | Address or interface churn |
| Account session limit | Wall-clock hours since login | Clean disconnect, server-side reason |
Ensimmäinen rivi on turvamekanismi, joka tekee työnsä, ja toinen on välilaite, joka unohtaa tilan. Niiden sekoittaminen johtaa joko avainten uusinnan heikentämiseen tai palomuurisäännön takaa-ajoon, joka ei ollut koskaan mukana.
Kiireinen vastaan joutilas kertoo kumman puolen
Tee kontrolloitu vertailu jatkuvalla liikenteellä, esimerkiksi pitkällä virralla tunnelin sisäiseen isäntään, ja katso muuttuuko aikaväli. Jos katkos katoaa datan virratessa, ajastin perustuu joutoaikaan.
Jos se kestää jatkuvan liikenteen, syy kuuluu avainten uusintaan, vuokraan tai käytäntöön. Tämä yksi testi poistaa puolet ehdokkaista noin tunnin havainnoinnissa, eikä se maksa muuta kuin huomiota.
Pidä käyttöverkon tila muuttumattomana testin aikana. Wi-Fin ja Ethernetin välillä vaihtaminen kesken vertailun tuo juuri sen liitäntätapahtuman, jonka yrität erottaa ajastimesta.
Sovita lokirivi rajaan
Lue asiakkaan ja palvelimen lokit tallennetun hetken ympäriltä, älä koko tiedostoa. Avainten uusinta näyttää neuvottelun; joutoajan vanheneminen ei näytä mitään seuraavaan pakettiin asti; vuokran muutos näyttää osoitetyön; käytännön raja näyttää yleensä puhtaan hallinnollisen katkaisun.
Nämä komennot vetävät asiaankuuluvan ikkunan kustakin lähteestä:
grep -iE "reneg|TLS Error|Inactivity" /var/log/openvpn.log | tail -20
journalctl -u NetworkManager --since "-90 min" | grep -iE "dhcp|link"
wg showJos kolme lähdettä ovat samaa mieltä aikaleimasta, tiedät ajastimen omistajan. Jos vain asiakkaan lokissa on jotain, palvelin ei todennäköisesti ole se, joka lopettaa istunnon.
Korjaa vaihe, älä kuvaketta
Jokaisella omistajalla on yksi tuettu korjaus. Avainten uusinnan vika tarvitsee yhteensopivat ehdotukset molemmissa päissä. Joutoajan vanheneminen tarvitsee keepaliven tai lyhyemmän joutoajan odotuksen reitin sallimissa rajoissa. Vuokra tapahtuma tarvitsee liitännän tai virransäästön asetusten korjaamista. Tilin raja on käytäntöpäätös, ei vika.
Avainten uusinnan tai todennuksen poistaminen käytöstä kuvakkeen pitämiseksi vihreänä vaihtaa näkyvän katkoksen näkymättömään heikkouteen ja jättää sinut kertomatta, milloin tunneli viimeksi neuvotteli tuoreista avaimista. Testaa alkuperäinen kesto sen jälkeen uudelleen ja säilytä aikaleimat, jotta seuraavaa tapahtumaa voidaan verrata tähän sen sijaan että aloitettaisiin alusta.