Mengapa VPN Anda putus setiap kali kunci diputar

Koneksi bekerja selama satu jam lalu mati, dan klien tidak melaporkan apa pun yang lebih berguna daripada disconnected. Periode itulah petunjuknya, karena ada sesuatu pada pertukaran pembaruan yang berbeda dari jabat tangan awal. Timer hanya menentukan kapan Anda bertemu dengannya. Simpan pesan dari pertukaran itu alih-alih label akhirnya.

Baca tahapannya, bukan labelnya

Dalam IKEv2, asosiasi IKE dan asosiasi CHILD diperbarui menurut jadwal terpisah. Proposal yang dapat diterima untuk negosiasi pertama tidak otomatis dapat diterima untuk yang kedua. Satu bisa selesai sementara yang lain ditolak, yang menghasilkan tunnel yang setengah ada. Tangkap pertukaran itu dengan alat yang memilikinya, bukan dengan baris log klien:

swanctl --list-sas
swanctl --log --level 2
ip xfrm state list

Untuk OpenVPN, peristiwa yang setara adalah negosiasi ulang yang diatur oleh versi dan pengaturan penerapan. Perilaku autentikasinya punya mode kegagalan sendiri. Pesan yang penting menyebutkan tahap yang gagal, dan Anda harus mencatatnya persis kata demi kata alih-alih memparafrasenya ke dalam tiket.

Catat juga stempel waktunya. Putus pada interval tetap setelah negosiasi sukses terakhir adalah temuan yang sangat berbeda dari putus yang datang acak selama pemakaian, dan intervalnya sering menjadi satu-satunya bukti yang bertahan.

Bandingkan proposal yang gagal

Proposal yang ditolak menghasilkan pesan jelas pada responder. Penyebab biasanya perbedaan antara kedua ujung dalam algoritme, panjang kunci, grup, atau masa berlaku. Negosiasi CHILD awal mungkin berhasil karena dimulai oleh sisi lain, yang berarti ia memakai daftar proposal sisi lain. Lihat kedua ujung sebelum mengubah apa pun.

Ketidakcocokan masa berlaku perlu perhatian khusus, karena nilai yang tampak berlimpah di satu ujung dapat membuat ujung lain memulai pembaruan yang tidak bisa diselesaikannya. Dokumentasi perilaku pergantian kunci menjelaskan bagaimana pembaruan asosiasi dipicu dan bagaimana kedua ujung dapat berbeda dalam ekspektasi waktunya. Bandingkan apa yang diklaim didukung setiap ujung alih-alih apa yang disarankan berkas konfigurasi.

Profil lama atau templat penyedia dapat mematok proposal yang tidak lagi ditawarkan rilis saat ini. Ketidakcocokan baru muncul ketika negosiasi baru dipaksakan.

Pisahkan masalah kredensial dari peer yang tak terjangkau

Pembaruan yang gagal autentikasi terlihat serupa di klien dan sangat berbeda di server. Jika kredensial diperiksa ulang saat negosiasi ulang, sertifikat kedaluwarsa, akun yang dicabut, atau kata sandi yang berubah akan menghasilkan putus tepat pada interval pembaruan sementara semua koneksi sebelumnya berhasil. Peer yang tak terjangkau adalah kemungkinan ketiga, dan tidak menghasilkan penolakan sama sekali: paket keluar dan tidak ada yang menjawab. Kasus itu biasanya mengikuti perubahan jaringan alih-alih timer, jadi periksa apakah kegagalan mengikuti roaming, periode diam, atau perubahan rute.

Bedakan ketiganya dari apa yang dicatat ujung jauh. Penolakan dengan alasan, kegagalan autentikasi, dan kesenyapan adalah tiga koreksi berbeda. Menyalakan ulang klien meruntuhkan semuanya menjadi satu pengamatan yang tidak berguna.

Periksa tanggal sertifikat dan status akun sebelum menyalahkan jaringan. Keduanya murah diperiksa dan keduanya tidak terlihat dalam pesan klien itu sendiri.

Paksakan satu pembaruan dan baca hasilnya

Paksakan satu pembaruan melalui metode yang didukung operator alih-alih menunggu satu jam untuk yang berikutnya. Jaga kebijakan kegagalan yang diwajibkan tetap utuh saat melakukannya. Menonaktifkan verifikasi atau meregangkan masa berlaku menjadi satu hari membuat gejalanya hilang dari log Anda tanpa memperbaiki apa pun. Itu juga meninggalkan gangguan yang lebih lama bagi orang berikutnya.

Setelah perbaikan terpasang, periksa tunnel yang diperbarui lalu buat permintaan baru dari aplikasi. Sesi aplikasi yang masih hidup saat asosiasi berubah mungkin perlu pemulihannya sendiri meskipun tunnel sudah sehat kembali. Pengguna akan melaporkannya sebagai VPN yang masih rusak.

Catat versi rilis, timer yang dinegosiasikan, dan tahap yang gagal. Kemunculan berikutnya kemudian dapat dibandingkan dengan yang ini alih-alih diuraikan lagi dari ingatan.