Miksi Azure OpenVPN -tunneli katkeaa noin kuudenkymmenen sekunnin välein

Tunneli suorittaa kättelynsä, siirtää liikennettä noin minuutin ja yhdistyy sitten uudelleen. Tämä järjestys sulkee pois tavallisen epäillyn, sillä portin estävä palomuuri olisi pysäyttänyt kättelyn eikä istuntoa. Sinulla on kyse elävyysnäkemyserosta: toinen osapuoli päätti, että toinen oli vaiennut, ja repi toimivan tunnelin alas. Lokirivi kertoo, kumpi osapuoli, ja se valitsee korjauksen.

Lue se rivi ennen kuin kosket mihinkään ajastimeen.

Myytti: jokin polulla estää tunnelin

Jos portti olisi estetty, yhteys epäonnistuisi alussa ja pysyisi epäonnistuneena. Toistuva sykli tarkoittaa, että ohjausviestit kulkevat, istuntoja muodostuu ja jokin myöhemmin keskustelussa vanhenee jatkuvasti. Estäminen tuottaa hiljaisuutta, ja tämä tuottaa rytmin.

Rytmi on hyödyllinen vihje. Ajastimet tuottavat sen; pakettihäviö harvoin.

Lue katkaisun syy ennen ajastinta

OpenVPN nimeää syynsä, ja jokainen nimi osoittaa eri alijärjestelmään. Session invalidated: KEEPALIVE_TIMEOUT on vanheneva ajastin, joten vertaa ping- ja ping-restart-arvoja molemmissa päissä. AUTH_FAILED on tunnistetiedot tai varmenteen tila, eikä mikään ajastimen muutos auta. TLS-virhe tarkoittaa, että osapuolet eivät koskaan päässeet keepalive-vaiheeseen.

Kirjaa yhdistämisaika, katkaisuaika ja se, onko väli sekunnilleen vakaa. Tämä yksi mittaus erottaa määritetyn aikataulun sattumasta.

Vakaa väli on ajastin. Ajautuva on todennäköisemmin polun ongelma tai siirtynyt istunto.

Kaksi keepalive-ajastinta, jotka eivät koskaan sopineet

Portaalista viedyt profiilit sisältävät joskus edelleen yhteisöpalvelimen mallista kopioituja rivejä kuten keepalive tai ping-restart. Yhdyskäytävä tekee oman kuolleen vastapuolen tunnistuksensa ja asettaa omat odotuksensa, eikä kahden aikataulun tarvitse täsmätä. Kun ne ovat eri mieltä, asiakas käynnistyy uudelleen aikataululla, jota yhdyskäytävä ei koskaan hyväksynyt.

Kaksi arvoa eivät ole sama ohjaus. ping on se, kuinka usein asiakas lähettää kaiun, ja ping-restart on se, kuinka kauan se odottaa kuulematta mitään ennen kuin repii tunnelin alas. Profiili, jossa on lyhyt ping-restart, ja yhdyskäytävä, joka vastaa hitaasti, käynnistyvät uudelleen jokaisella hiljaisella jaksolla, mikä on täsmälleen yhden minuutin syklin muoto.

Pienin muutos asiakkaan puolella on neutraloida ajastimet profiilin ylimmällä tasolla, jokaisen rivinsisäisen lohkon ulkopuolella:

keepalive 0 0

Tallenna, lataa profiili uudelleen, yhdistä uudelleen. Jo muistissa oleva istunto säilyttää vanhat arvot, minkä vuoksi muokkaus näyttää joskus siltä, ettei se tehnyt mitään.

Varmenteen nimi voi siirtyä jalkojesi alta

Azure-varmenteen todennus riippuu siitä, luottaako asiakas nimeen, jonka yhdyskäytävä esittää tänään. Vanhemmassa latauksessa oleva verify-x509-name-rivi voi kiinnittää nimen, jota yhdyskäytävän uudelleenrakennus tai varmenteen uusiminen on sittemmin muuttanut, ja epäsopivuus ilmenee uudelleenyhdistämisen silmukkana eikä selvänä virheenä. Rivin poistaminen palauttaa yhteyden, mikä tekee siitä hyvän diagnoosin ja huonon pysyvän korjauksen, koska se poistaa myös varmennuksen. Kun tunneli pysyy, palauta rivi nimellä, jonka yhdyskäytävä todella esittää.

Testaa toista asiakassukupolvea samalla koneella ennen yhdyskäytävän muokkaamista. Jos yksi asiakas silmukoituu ja toinen pysyy, profiili ei ole ongelma.

Mitä muuttaa ja missä järjestyksessä

Tarkista seuraavaksi siirtynyt istunto. Kaksi laitetta, jotka jakavat yhden varmenteen, voivat työntää toisiaan pois, ja tulos näyttää jaksolliselta, koska molemmat osapuolet yhdistävät jatkuvasti uudelleen. Vertaa piste-sivusto-istuntojen tietueita samasta identiteetistä, joka ilmestyy yhä uudelleen.

Testaa sitten tyhjäkäyntipolku ajamalla jatkuvaa liikennettä useiden minuuttien ajan. Jos katkeamiset lakkaavat liikenteen virratessa, tärkeä ajastin kuuluu polun NAT-laitteelle tai kuormantasaajalle, ei OpenVPN:lle.

Yhdyskäytävän asetuksia tulisi muuttaa vasta näiden neljän testin jälkeen.