Mengapa terowongan Azure OpenVPN putus kira-kira setiap enam puluh detik

Terowongan menyelesaikan jabat tangan, membawa lalu lintas sekitar satu menit, lalu tersambung kembali. Urutan itu menyingkirkan tersangka biasa, karena firewall yang memblokir port akan menghentikan jabat tangan, bukan sesinya. Yang Anda hadapi adalah ketidaksepakatan soal keaktifan: satu sisi memutuskan sisi lain sudah diam dan merobohkan terowongan yang berfungsi. Baris log menyebut sisi mana, dan itulah yang menentukan perbaikan.

Baca baris itu sebelum menyentuh pengatur waktu apa pun.

Mitos: ada sesuatu di jalur yang memblokir terowongan

Jika sebuah port diblokir, koneksi akan gagal di awal dan tetap gagal. Siklus yang berulang berarti pesan kendali mengalir, sesi terbentuk, dan sesuatu yang lebih akhir dalam percakapan terus kedaluwarsa. Pemblokiran menghasilkan keheningan, dan ini menghasilkan irama.

Irama adalah petunjuk yang berguna. Pengatur waktu menghasilkannya; kehilangan paket jarang.

Baca alasan pemutusan sebelum pengatur waktu

OpenVPN menamai alasannya, dan setiap nama menunjuk ke subsistem yang berbeda. Session invalidated: KEEPALIVE_TIMEOUT adalah pengatur waktu yang kedaluwarsa, jadi bandingkan nilai ping dan ping-restart di kedua ujung. AUTH_FAILED adalah kredensial atau status sertifikat, dan tidak ada perubahan pengatur waktu yang akan membantu. Kesalahan TLS berarti kedua pihak tidak pernah mencapai tahap keepalive.

Catat waktu tersambung, waktu terputus, dan apakah intervalnya stabil sampai ke detik. Satu pengukuran itu memisahkan jadwal yang dikonfigurasi dari kebetulan.

Interval yang stabil adalah pengatur waktu. Yang bergeser lebih mungkin masalah jalur atau sesi yang tergeser.

Dua pengatur waktu keepalive yang tidak pernah sepakat

Profil yang diekspor dari portal kadang masih membawa baris keepalive atau ping-restart yang disalin dari templat server komunitas. Gateway menjalankan deteksi rekan mati sendiri dan memaksakan harapannya sendiri, dan kedua jadwal tidak harus cocok. Ketika keduanya berbeda, klien memulai ulang menurut jadwal yang tidak pernah disetujui gateway.

Kedua nilai itu bukan kendali yang sama. ping adalah seberapa sering klien mengirim gema, dan ping-restart adalah berapa lama ia menunggu tanpa mendengar apa pun sebelum merobohkan terowongan. Profil dengan ping-restart pendek dan gateway yang menjawab lambat akan memulai ulang pada setiap periode hening, yang persis bentuk siklus satu menit.

Perubahan terkecil di sisi klien adalah menetralkan pengatur waktu di tingkat teratas profil, di luar setiap blok inline:

keepalive 0 0

Simpan, muat ulang profil, sambungkan lagi. Sesi yang sudah ada di memori menyimpan nilai lama, itulah sebabnya edit kadang tampak tidak melakukan apa pun.

Nama sertifikat bisa bergeser di bawah kaki Anda

Autentikasi sertifikat Azure bergantung pada klien memercayai nama yang disajikan gateway hari ini. Baris verify-x509-name dalam unduhan lama dapat memakukan nama yang telah diubah oleh pembangunan ulang gateway atau pembaruan sertifikat, dan ketidakcocokan muncul sebagai lingkaran penyambungan ulang, bukan kesalahan yang jelas. Menghapus baris memulihkan konektivitas, yang menjadikannya diagnostik yang baik dan perbaikan permanen yang buruk, karena juga menghapus verifikasi. Setelah terowongan bertahan, pulihkan baris dengan nama yang benar-benar disajikan gateway.

Uji generasi klien kedua di mesin yang sama sebelum mengedit gateway. Jika satu klien berputar dan yang lain bertahan, profil bukan masalahnya.

Apa yang harus diubah, dan dalam urutan apa

Periksa sesi yang tergeser berikutnya. Dua perangkat yang berbagi satu sertifikat dapat saling mendorong keluar, dan hasilnya tampak berkala karena kedua sisi terus tersambung ulang. Bandingkan catatan sesi titik-ke-lokasi untuk identitas yang sama yang muncul berulang kali.

Lalu uji jalur diam dengan menjalankan lalu lintas terus-menerus selama beberapa menit. Jika pemutusan berhenti saat lalu lintas mengalir, pengatur waktu yang penting milik perangkat NAT atau penyeimbang beban di jalur, bukan milik OpenVPN.

Pengaturan gateway sebaiknya diubah hanya setelah keempat uji itu.