Por que a túa VPN cae cada vez que rotan as claves

A conexión funciona durante unha hora e logo morre, e o cliente non informa nada máis útil que disconnected. Ese período é a pista, porque algo do intercambio de renovación difire do handshake inicial. O temporizador só decide cando te atopas con el. Garda as mensaxes dese intercambio en lugar da etiqueta final.

Le a etapa, non a etiqueta

En IKEv2 a asociación IKE e a asociación CHILD renovanse con calendarios separados. Unha proposta aceptable para a primeira negociación non é automaticamente aceptable para a segunda. Unha pode completarse mentres a outra se rexeita, o que produce un túnel que existe a medias. Captura o intercambio coa ferramenta que o posúe en lugar dunha liña do rexistro do cliente:

swanctl --list-sas
swanctl --log --level 2
ip xfrm state list

Para OpenVPN, o acontecemento equivalente é unha renegociación gobernada pola versión e os axustes de despregamento. O seu comportamento de autenticación ten os seus propios modos de fallo. A mensaxe que importa nomea a etapa fallida, e deberías rexistrala literalmente en lugar de parafraseala nun ticket.

Anota tamén as marcas de tempo. Unha caída nun intervalo fixo tras a última negociación exitosa é un achado moi distinto dunha que chega ao azar durante o uso, e o intervalo adoita ser a única evidencia que sobrevive.

Compara a proposta que falla

Unha proposta rexeitada produce unha mensaxe clara no respondedor. A causa habitual é unha diferenza entre ambos extremos en algoritmo, lonxitude de clave, grupo ou duración. A negociación CHILD inicial puido ter éxito porque a iniciou o outro lado, o que significa que usou a lista de propostas do outro lado. Mira ambos extremos antes de cambiar nada.

As discrepancias de duración merecen especial atención, porque un valor que parecía xeneroso nun extremo pode facer que o outro inicie unha renovación que non pode completar. A documentación do comportamento de recambio de claves describe como se dispara a renovación da asociación e como os dous extremos poden diferir nas súas expectativas de tempo. Compara o que cada extremo di soster en lugar do que suxire o ficheiro de configuración.

Un perfil antigo ou un modelo de provedor poden fixar unha proposta que a versión actual xa non ofrece. A discrepancia só aparece cando se forza unha negociación nova.

Separa un problema de credenciais dun par inalcanzable

Unha renovación que falla a autenticación vese parecida no cliente e completamente distinta no servidor. Se unha credencial se volve comprobar na renegociación, un certificado caducado, unha conta revogada ou un contrasinal cambiado producirán unha caída exactamente no intervalo de renovación, mentres todas as conexións anteriores tiveron éxito. Un par inalcanzable é a terceira posibilidade, e non produce ningún rexeitamento: os paquetes saen e nada responde. Ese caso normalmente segue un cambio de rede en lugar dun temporizador, así que comproba se o fallo chega tras un roaming, un período de inactividade ou un cambio de ruta.

Distingue os tres polo que rexistrou o extremo remoto. Un rexeitamento con motivo, un fallo de autenticación e o silencio son tres correccións distintas. Reiniciar o cliente colápsaos nunha observación inútil.

Comproba as datas do certificado e o estado da conta antes de culpar a rede. Ambos son baratos de inspeccionar e ambos son invisibles na mensaxe do propio cliente.

Forza unha renovación e le o resultado

Forza unha renovación co método soportado polo operador en lugar de esperar unha hora para a seguinte. Mantén intacta a política de fallo requirida mentres o fas. Desactivar a verificación ou estirar as duracións ata un día fai desaparecer o síntoma dos teus rexistros sen corrixir nada. Tamén deixa unha interrupción máis longa esperando a seguinte persoa.

Cando a corrección estea no seu sitio, comproba o túnel renovado e despois fai unha petición nova desde a aplicación. Unha sesión de aplicación que estaba viva cando cambiou a asociación pode necesitar a súa propia recuperación aínda que o túnel volva estar san. Os usuarios reportarano como que a VPN segue rota.

Rexistra as versións da release, os temporizadores negociados e a etapa que fallou. A seguinte recorrencia poderase comparar entón con esta en lugar de describirse outra vez de memoria.