Miksi VPN-yhteytesi katkeaa joka kerta, kun avaimet vaihtuvat

Yhteys toimii tunnin ja kuolee sitten, eikä asiakas raportoi mitään hyödyllisempää kuin disconnected. Juuri se jakso on vihje, koska uudistusvaihdossa jokin eroaa aloituskättelystä. Ajastin päättää vain, milloin kohtaat sen. Tallenna sen vaihdon viestit lopputunnisteen sijaan.

Lue vaihe, älä tunnistetta

IKEv2:ssa IKE-assosiaatio ja CHILD-assosiaatio uudistetaan erillisillä aikatauluilla. Ehdotus, joka kelpasi ensimmäiseen neuvotteluun, ei automaattisesti kelpaa toiseen. Toinen voi valmistua, kun toinen hylätään, mikä tuottaa tunnelin, joka on puoliksi olemassa. Tallenna vaihto työkalulla, joka omistaa sen, älä asiakkaan lokirivillä:

swanctl --list-sas
swanctl --log --level 2
ip xfrm state list

Kohdassa OpenVPN vastaava tapahtuma on uudelleenneuvottelu, jota versio ja käyttöönottoasetukset ohjaavat. Sen todennuskäyttäytymisellä on omat virhetilansa. Ratkaiseva viesti nimeää epäonnistuneen vaiheen, ja sinun pitäisi kirjata se sanatarkasti sen sijaan, että muotoilisit sen uudelleen tikettiin.

Kirjaa myös aikaleimat. Katkeaminen kiinteällä välillä viimeisen onnistuneen neuvottelun jälkeen on täysin eri löydös kuin käytön aikana satunnaisesti tuleva, ja väli on usein ainoa todiste, joka säilyy.

Vertaa ehdotusta, joka epäonnistuu

Hylätty ehdotus tuottaa selkeän viestin vastaajalla. Tavallinen syy on ero kahden pään välillä algoritmissa, avaimen pituudessa, ryhmässä tai eliniässä. Ensimmäinen CHILD-neuvottelu on saattanut onnistua, koska toinen puoli käynnisti sen, eli se käytti toisen puolen ehdotusluetteloa. Katso molempia päitä ennen kuin muutat mitään.

Eliniän eroavaisuudet ansaitsevat erityistä huomiota, koska toisessa päässä runsaalta näyttänyt arvo voi saada toisen pään aloittamaan uudistuksen, jota se ei pysty päättämään. Avaimen uusimiskäyttäytymisen dokumentaatio kuvaa, miten assosiaation uudistus laukaistaan ja miten kaksi päätä voivat erota aikavaatimuksissaan. Vertaa sitä, mitä kukin pää väittää tukevansa, eikä sitä, mitä asetustiedosto vihjaa.

Vanha profiili tai palveluntarjoajan malli voi kiinnittää ehdotuksen, jota nykyinen versio ei enää tarjoa. Yhteensopimattomuus paljastuu vasta, kun uusi neuvottelu pakotetaan.

Erota tunnistetietojen ongelma tavoittamattomasta vastapuolesta

Uudistus, joka epäonnistuu todennuksessa, näyttää asiakkaassa samanlaiselta ja palvelimella täysin erilaiselta. Jos tunnistetieto tarkistetaan uudelleen uudelleenneuvottelussa, vanhentunut varmenne, peruutettu tili tai vaihdettu salasana tuottaa katkeamisen täsmälleen uudistusvälillä, vaikka kaikki aiemmat yhteydet onnistuivat. Tavoittamaton vastapuoli on kolmas mahdollisuus, eikä se tuota lainkaan hylkäystä: paketit lähtevät eikä mikään vastaa. Se tapaus seuraa yleensä verkkomuutosta eikä ajastinta, joten tarkista, seuraako vika verkkovierailua, lepojaksoa vai reittimuutosta.

Erottele kolme sen perusteella, mitä kaukopää kirjasi. Hylkäys syyn kanssa, todennusvirhe ja hiljaisuus ovat kolme eri korjausta. Asiakkaan uudelleenkäynnistys tiivistää ne yhdeksi hyödyttömäksi havainnoksi.

Tarkista varmenteen päivämäärät ja tilin tila ennen kuin syytät verkkoa. Molemmat ovat halpoja tarkistaa ja molemmat ovat näkymättömiä asiakkaan omassa viestissä.

Pakota yksi uudistus ja lue tulos

Pakota yksi uudistus operaattorin tukemalla menetelmällä sen sijaan, että odottaisit tunnin seuraavaa. Pidä vaadittu virhekäytäntö koskemattomana, kun teet sen. Vahvistuksen poistaminen käytöstä tai elinikien venyttäminen päivään saa oireen katoamaan lokeistasi korjaamatta mitään. Se jättää myös pidemmän katkoksen odottamaan seuraavaa henkilöä.

Kun korjaus on paikallaan, tarkista uudistettu tunneli ja tee sitten uusi pyyntö sovelluksesta. Sovellusistunto, joka oli elossa assosiaation vaihtuessa, saattaa tarvita oman palautumisensa, vaikka tunneli on taas terve. Käyttäjät raportoivat sen VPN:nä, joka on edelleen rikki.

Kirjaa julkaisuversiot, neuvotellut ajastimet ja vaihe, joka epäonnistui. Seuraavaa toistumaa voidaan sitten verrata tähän sen sijaan, että se kuvattaisiin uudelleen muistista.