VPN ferbrut itselde ynterval? Pas de timer oan
In útfal mei fêst ynterval is in fingerprint. Ferlykje de tunnelkaai-ferfanging, de NAT-idle-timer, de DHCP-hier en de akkountlimyt foardat jo wat feroarje.
In tunnel dy't elk fearnthjirtich minuten stjert, of elk oere op deselde minút, fertelt jo dat in timer ferrûn is, net dat it netwurk ynstabyl is. De nuttige set is it ynterval opskriuwe en it ferlykje mei de fjouwer timers dy't dit patroan meitsje. It feroarjen fan 'e tiidlimiten foar dy ferliking ferpleatst de flater meastentiids sûnder him te ferklearjen, wat de folgjende foarfallen dreger lêsber makket as de earste. De mjitting kostet tsien minuten en ferfangt in wike fan rieden.
Meitsje fan it ynterval in getal
Sammele fiif of seis foarfallen en berekkenje de tuskenromte, net de romte fan it begjin fan 'e dei. In útfal om 09:12, 10:12 en 11:12 is in oeregrins; in útfal om 09:12, 09:27 en 09:42 is fyftjin minuten fan 'e lêste slagge ferbining. Rûn it resultaat ôf nei de meast oannimlike timer, net nei de tichtstbye minút.
Skriuw twa mominten per foarfal op: wannear't it ferkear foar it lêst beweegde en wannear't de klant de ferbrekking melde. Dy ferskille as in tunnel stil stjert en de klant it pas by de folgjende ferstjoering merkt, en dat ferskil is wat in idle-timeout fan in hurde flater skiedt. In klant dy't let merkt, blaast it idle-finster op dat jo mjitte.
Merk op oft de werferbining automatysk is. In klant dy't binnen sekonden wer ferbynt, hâldt it ynterval sichtber yn it log en bûten it brûkersrapport, en dêrom wurde dizze flaters faak as tafallich beskreaun ynstee fan periodike. It ferberget it foarfal ek foar de persoan dy't de laptop brûkt.
Fjouwer timers dy't itselde lykje
Hast elke weromkommende tunnelútfal komt fan ien fan dizze: in protokolkaai-ferfanging, in ferrinnende idle-mapping, in DHCP- of interface-foarfal, of in akkountbelied. Se ferskille yn oft der ferkear wie en yn wat it log op 'e grins seit.
De ûndersteande signatures binne it learen wurdich, want se litte jo trije ferklearrings ôfwize fan ien logrigel:
| Timer | Typical trigger | What the log shows at the boundary |
|---|---|---|
| Protocol rekey | Traffic present, fixed interval | Negotiation lines, sometimes a failure |
| NAT or firewall idle | No traffic for minutes | Silence, then a timeout on send |
| DHCP lease or link change | Half the lease, or a radio event | Address or interface churn |
| Account session limit | Wall-clock hours since login | Clean disconnect, server-side reason |
De earste rige is in feilichheidsmeganisme dat syn wurk docht, en de twadde is in tuskenapparaat dat steat fergetten is. Se trochinoar helje liedt ta it ferswakjen fan 'e kaai-ferfanging of ta it efterfolgjen fan in firewallregel dy't nea belutsen wie.
Drok tsjin idle fertelt jo hokker helte
Doch in kontrolearre ferliking mei trochgeand ferkear, lykas in lange stream nei in host binnen de tunnel, en sjoch oft it ynterval feroaret. As de útfal ferdwynt wylst gegevens streame, is de timer basearre op idle.
As it trochgeand ferkear oerlibbet, heart de oarsaak by kaai-ferfanging, hier of belied. Dy iene test hellet de helte fan 'e kandidaten fuort yn sawat in oere observaasje, en it kostet neat oars as oandacht.
Hâld it tagongsnetwurk ûnferoare by de test. Wikselje tusken Wi-Fi en Ethernet midden yn 'e ferliking brocht krekt it interface-foarfal dat jo fan in timer besykje te ûnderskieden.
Pas de logrigel oan de grins
Lês de klant- en serverlogs rûn it fêstleine momint, net it hiele bestân. In kaai-ferfanging lit ûnderhanneling sjen; in idle-ferrinning lit neat sjen oant it folgjende pakket; in hierferoaring lit adreswurk sjen; in beliedsgrins lit meastentiids in skjinne administratyve ferbrekking sjen.
Dizze opdrachten helje it relevante finster út elke boarne:
grep -iE "reneg|TLS Error|Inactivity" /var/log/openvpn.log | tail -20
journalctl -u NetworkManager --since "-90 min" | grep -iE "dhcp|link"
wg showAs de trije boarnen it iens binne oer de tiidstimpel, hawwe jo de eigner fan 'e timer. As allinnich it klantlog wat hat, is de server wierskynlik net dejinge dy't de sesje einiget.
Reparearje de etappe, net it ikoan
Elke eigner hat ien stipe reparaasje. In flater yn 'e kaai-ferfanging freget kompatibele foarstellen oan beide kanten. In idle-ferrinning freget in keepalive of in koartere idle-ferwachting, binnen wat it paad tastiet. In hierfoarfal freget it oanpassen fan 'e interface- of enerzjyynstellingen. In akkountlimyt is in beliedsbeslissing, gjin bug.
It útsette fan kaai-ferfanging of autentikaasje om it ikoan grien te hâlden ruilet in sichtbere útfal foar in ûnsichtbere swakheid, en it lit jo net sizze wannear't de tunnel foar it lêst nije kaaien ûnderhannele. Test dêrnei de oarspronklike doer opnij en bewarje de tiidstimpels, sadat it folgjende foarfal mei dit iene ferlike wurde kin ynstee fan opnij te begjinnen.