Miért szakad meg a VPN minden alkalommal, amikor a kulcsok rotálódnak

A kapcsolat egy órán át működik, majd meghal, és a kliens semmi hasznosabbat nem jelent, mint disconnected. Pont ez az időszak a nyom, mert a megújítási cserében valami eltér a kezdeti kézfogástól. Az időzítő csak azt dönti el, mikor találkozol vele. A záró címke helyett mentsd el az abból a cseréből származó üzeneteket.

A szakaszt olvasd, ne a címkét

Az IKEv2-ben az IKE-társítás és a CHILD-társítás külön ütemezés szerint újul meg. Egy javaslat, amely az első tárgyaláshoz elfogadható volt, a másodikhoz nem automatikusan elfogadható. Az egyik befejeződhet, miközben a másikat elutasítják, ami félig létező alagutat hoz létre. Rögzítsd a cserét azzal az eszközzel, amelyik birtokolja, ne egy kliens naplósorral:

swanctl --list-sas
swanctl --log --level 2
ip xfrm state list

Az OpenVPN esetében az egyenértékű esemény egy újratárgyalás, amelyet a verzió és a telepítési beállítások irányítanak. A hitelesítési viselkedésének saját hibaállapotai vannak. A fontos üzenet megnevezi a meghiúsult szakaszt, és szó szerint kell rögzítened, nem pedig jegybe átfogalmaznod.

Írd fel az időbélyegeket is. Az utolsó sikeres tárgyalás utáni fix időközönkénti kiesés egészen más lelet, mint a használat közben véletlenszerűen érkező, és az időköz gyakran az egyetlen bizonyíték, amely megmarad.

Hasonlítsd össze a meghiúsuló javaslatot

Az elutasított javaslat világos üzenetet ad a válaszadónál. A szokásos ok a két végpont közötti különbség algoritmusban, kulcshosszban, csoportban vagy élettartamban. A kezdeti CHILD-tárgyalás azért sikerülhetett, mert a másik fél kezdeményezte, ami azt jelenti, hogy a másik fél javaslatlistáját használta. Nézd meg mindkét végpontot, mielőtt bármit módosítasz.

Az élettartam-eltérések különös figyelmet érdemelnek, mert egy nagyvonalúnak tűnő érték az egyik végponton a másikat olyan megújításra késztetheti, amelyet nem tud befejezni. A kulcsújítás viselkedésének dokumentációja leírja, hogyan indul a társítás megújítása, és hogyan térhet el a két végpont az időbeli elvárásaiban. Hasonlítsd össze, mit állít támogatni mindegyik végpont, ahelyett hogy mit sugall a konfigurációs fájl.

Egy régi profil vagy szolgáltatói sablon rögzíthet olyan javaslatot, amelyet a jelenlegi kiadás már nem kínál. Az eltérés csak akkor válik láthatóvá, amikor új tárgyalást kényszerítenek ki.

Válaszd szét a hitelesítő adat problémáját az elérhetetlen partnertől

A hitelesítésen meghiúsuló megújítás hasonlónak látszik a kliensben és teljesen másnak a szerveren. Ha a hitelesítő adatot az újratárgyaláskor újra ellenőrzik, a lejárt tanúsítvány, a visszavont fiók vagy a megváltozott jelszó pontosan a megújítási intervallumban okoz kiesést, miközben minden korábbi kapcsolat sikeres volt. Az elérhetetlen partner a harmadik lehetőség, és egyáltalán nem okoz elutasítást: a csomagok kimennek és semmi nem válaszol. Ez az eset általában hálózati változást követ, nem időzítőt, ezért ellenőrizd, hogy a hiba roam után, tétlenségi időszak után vagy útvonal-változás után jön-e.

Különböztesd meg a hármat aszerint, amit a távoli végpont naplózott. Az okkal járó elutasítás, a hitelesítési hiba és a csend három különböző javítás. A kliens újraindítása egyetlen hasznavehetetlen megfigyeléssé olvasztja őket.

Ellenőrizd a tanúsítvány dátumait és a fiók állapotát, mielőtt a hálózatot hibáztatod. Mindkettő olcsón ellenőrizhető, és mindkettő láthatatlan a kliens saját üzenetében.

Kényszeríts ki egy megújítást és olvasd le az eredményt

Kényszeríts ki egy megújítást az üzemeltető által támogatott módszerrel, ahelyett hogy egy órát várnál a következőre. Tartsd érintetlenül a szükséges hiba-szabályzatot, miközben ezt teszed. Az ellenőrzés kikapcsolása vagy az élettartamok egy napra nyújtása eltünteti a tünetet a naplóidból anélkül, hogy bármit is javítana. Ráadásul hosszabb kimaradást hagy a következő emberre.

Amikor a javítás a helyén van, ellenőrizd a megújított alagutat, majd indíts új kérést az alkalmazásból. Egy alkalmazás-munkamenet, amely élt a társítás változásakor, saját helyreállítást igényelhet, még ha az alagút ismét egészséges. A felhasználók ezt úgy fogják jelenteni, hogy a VPN még mindig törött.

Rögzítsd a kiadási verziókat, a kialkudott időzítőket és a meghiúsult szakaszt. A következő előfordulás ekkor ehhez hasonlítható, ahelyett hogy újra emlékezetből írnád le.