Wêrom't in Azure OpenVPN-tunnel sawat elke sechstich sekonden falt

De tunnel foltôget syn hânskud, draacht ferkear sawat in minút en ferbynt dan wer. Dy folchoarder slút de gewoane fertochte út, want in firewall dy't de poarte blokkearret, soe it hânskud stoppe hawwe en net de sesje. Wat jo hawwe is in ûnienigens oer libbenens: ien kant besleat dat de oare stil wurden wie en briek in wurkjende tunnel ôf. De logrigel seit hokker kant, en dy kiest de oplossing.

Lês dy rigel foardat jo in timer oanreitsje.

De myte: eat op it paad blokkearret de tunnel

As in poarte blokkearre wie, soe de ferbining oan it begjin mislearje en mislearre bliuwe. In werheljende syklus betsjut dat kontrôleberjochten streame, sesjes har festigje, en eat letter yn it petear bliuwt ferrinnen. Blokkearjen makket stilte, en dit makket in ritme.

It ritme is de nuttige oanwizing. Timers meitsje it; pakketferlies selden.

Lês de reden fan it ôfbrekken foar de timer

OpenVPN neamt syn reden, en elke namme wiist nei in oar subsysteem. Session invalidated: KEEPALIVE_TIMEOUT is in timer dy't ferrint, fergelykje dus de ping- en ping-restart-wearden oan beide kanten. AUTH_FAILED is oanmeldgegevens of sertifikaatstatus, en gjin timerwiziging sil helpe. In TLS-flater betsjut dat de pearen nea de keepalive-faze berikten.

Skriuw de ferbiningsstiid, de ôfbrekstiid en oft it ynterval oant op 'e sekonde stabyl is op. Dy iene mjitting skiedt in konfigurearre skema fan in tafal.

In stabyl ynterval is in timer. Ien dy't driuwt is wierskynliker in paadprobleem of in ferskode sesje.

Twa keepalive-timers dy't it nea iens waarden

Profylen eksportearre út it portaal drage soms noch rigels lykas keepalive of ping-restart kopiearre út in sjabloan fan in mienskipssearfer. De gateway docht syn eigen deteksje fan deade pearen en twingt syn eigen ferwachtings op, en de twa skema's hoege net oerien te kommen. As se faninoar ôfwike, start de kliïnt opnij neffens in skema dat de gateway nea akseptearre hat.

De twa wearden binne net deselde kontrôle. ping is hoe faak de kliïnt in echo stjoert, en ping-restart is hoe lang't er wachtet sûnder eat te hearren foardat er de tunnel ôfbrekt. In profyl mei in koarte ping-restart en in gateway dy't stadich antwurdet, sille by elke stille perioade opnij starte, wat krekt de foarm fan in syklus fan ien minút is.

De lytste feroaring oan 'e kliïntkant is de timers te neutralisearjen op it boppeste nivo fan it profyl, bûten elk ynline-blok:

keepalive 0 0

Bewarje, laad it profyl opnij, ferbyn opnij. In sesje dy't al yn it ûnthâld sit, hâldt de âlde wearden, en dêrom liket de bewurking soms neat dien te hawwen.

De sertifikaatnamme kin ûnder jo fuotten weiskowe

Azure-sertifikaatferifikaasje hinget derfan ôf oft de kliïnt it fertrout yn 'e namme dy't de gateway hjoed presintearret. In verify-x509-name-rigel yn in âldere download kin in namme fêstsette dy't in werbou fan 'e gateway of in sertifikaatfernijing yntusken feroare hat, en de misferhâlding docht him foar as in werferbiningslus ynstee fan in dúdlike flater. It fuortheljen fan 'e rigel stellt de ferbining wer, wat it in goed diagnoazjemiddel en in minne permaninte oplossing makket, want it hellet ek de ferifikaasje fuort. As de tunnel ienris hâldt, stel dan de rigel wer yn mei de namme dy't de gateway wier presintearret.

Test in twadde kliïntgeneraasje op deselde masine foardat jo de gateway bewurkje. As ien kliïnt lûkt en de oare hâldt, is it profyl net it probleem.

Wat te feroarjen, en yn hokker folchoarder

Kontrolearje dêrnei op in ferskode sesje. Twa apparaten dy't ien sertifikaat diele, kinne inoar derút triuwe, en it resultaat liket periodyk om't beide kanten trochgeane mei opnij ferbinen. Fergelykje de punt-nei-site-sesjerekords foar deselde identiteit dy't hieltyd wer opduikt.

Test dêrnei it idle paad troch ferskate minuten trochgeand ferkear te draaien. As de fallen ophâlde wylst ferkear streams, heart de wichtige timer by in NAT-apparaat of loadbalancer op it paad, net by OpenVPN.

Gateway-ynstellingen moatte pas nei dy fjouwer tests feroare wurde.