UDP-VPN stoppet by ynaktiviteit: de firewall fergeat dyn stream

De VPN ferbynt, wurket in skoft en hâldt dan op mei ferkear troch te litten wylst de klant noch in sesje toant. Opnij ferbinen makket it goed, wêrtroch't it op in klantflater liket. Meastentiids is it in firewall of NAT-apparaat dat in ynaktive UDP-mapping fuortsmiten hat en gjin idee hat dat de tunnel noch bestiet.

It symptoom is konsekwint genôch om te diagnostisearjen: it ferskynt nei ynaktiviteit, net ûnder belesting.

Hoe't in stopping by ynaktiviteit der útsjocht

Mjit it ynstee fan it te beskriuwen. Skriuw op hoe lang't de tunnel stil leit foardat it ferkear stoppet, oft in nij útgeand pakket him wer oplibbet en oft de klantynterface noch syn adres hâldt. As in nij fersyk fan 'e klant wurket mar in antwurd op in besteande stream net, is de mapping de fertochte. As neat wurket oantsto opnij ferbynt, is de sesjestatus fan 'e klant ek fuort.

Beide hawwe mei ynaktiviteit te krijen, en se hawwe ferskillende oplossingen nedich.

Skriuw de tiden op foardatsto eat feroarest. In rapport dat it nei sawat tsien ynaktive minuten stoppet is te testen, wylst in rapport dat it willekeurich falt dat net is. Dat ferskil beslút oftsto in timer of in rûteferoaring efterfolgje.

Fyn it apparaat dat fergeat

Ferskate apparaten kinne status hâlde foar deselde stream: de lokale router, in oersetder boppe yn 'e keatling, in wolkrâne en de firewall fan 'e host. Elk hat syn eigen timer, en de koartste wint. In ûnderbrekking fan fiif minuten betsjut meastentiids dat ien apparaat folle leger as de oaren ynsteld is.

Nim net oan dat in dokumintearre standert de tiidlimit op dyn paad is. It is de standert fan ien apparaat.

• Thúsrouter: faak minuten, soms folle minder.
• Wolk-NAT of loadbalancer: sykje de dokumintearre ynaktive tiidlimit spesjaal foar UDP.
• Firewall fan 'e host: netfilter-folchtiidtimers jilde per stream.

Kontrolearje de timers op it werklike paad

Op Linux binne de netfilter-folchtiidtimers sichtber en oanpasber: sysctl net.netfilter.nf_conntrack_udp_timeout en net.netfilter.nf_conntrack_udp_timeout_stream. De twadde jildt sadree't ferkear yn beide rjochtingen sjoen is, wêrtroch't in festige tunnel in keale probe oerlibje kin.

RFC 4787 beskriuwt UDP-NAT-gedrach en oanbefelle minimums. It is de referinsje om oan te heljen as in standert fan in leveransier ûngewoan koart liket.

Keepalive en opnij ferbinen binne ferskillende ark

In keepalive hâldt in mapping libben; in opnij ferbinen bout in deade sesje wer op. Se losse ferskillende flaters op en binne gjin útwikselbere faasje-ynstellingen. De opsje fan WireGuard PersistentKeepalive stjoert in pakket mei in fêst ynterval om de NAT-bining iepen te hâlden. De opsje fan OpenVPN keepalive docht itselde wurk op syn eigen manier. Gjin fan beide helpt as it apparaat yn 'e midden de stream al fergetten is en beide rjochtingen fuortsmyt.

Ekstreem faak probes foegje wurk ta sûnder de ferkearde grins te reparearjen.

Kontrolearje mei in nij fersyk, net mei in sideferfarskjen

Nei it feroarjen fan in timer of it tafoegjen fan in keepalive, werhelje it ynaktive senario krekt as earder. Meitsje dan in wier nij fersyk fan 'e dekke applikaasje. In browser-tab dy't al laden wie kin út 'e cache fertoane wurde en fertelt dy neat.

As de stopping oanhâldt, beweeg ien hop nei bûten en kontrolearje de statustabel fan dat apparaat.