VPN á Mac tengist einu sinni og rennur svo út á tíma: hreinsið IKE-púkann

Fyrsta tengingin eftir endurræsingu virkar. Sérhver tilraun á eftir hangir í tengifasanum og rennur að lokum út á tíma, og eina áreiðanlega lækningin er önnur endurræsing. Þetta mynstur er ekki vandamál í sniði og það er ekki vandamál í auðkennum. Eitthvað í bakgrunninum heldur enn í stöðunni frá fyrri tilraun, og næsta tilraun rekst á það.

Á macOS er það eitthvað venjulega IKE-púkinn.

Mynstrið: ein tenging, svo tímauppbót

Tenging sem virkar nákvæmlega einu sinni í hverri ræsingu bendir til stöðu sem lifir af aftengingu en ekki endurræsingu. Snið lifa af báðu, svo sniðið er ekki breytan. Auðkenni lifa einnig af báðu, nema netþjónninn læsi reikningnum. Það sem breytist við endurræsingu er mengi púkanna sem keyra og sokkarnir sem þeir halda.

Það þrengir rannsóknina áður en þú opnar eitt einasta skráningarblað. Spurningin verður hvaða ferli á IKE-gáttina og hvað það heldur að það sé að gera.

Tveir púkar, ein gátt

Kerfið keyrir racoon þegar tenging talar IKE útgáfu 1. Núverandi útgáfur koma einnig með iked fyrir IKEv2 og nýrri IPsec-staflann. Bæði geta bundið UDP 500 og UDP 4500, og bæði geta haldið hálfopnum öryggistengslum eftir að tengitilraun er hætt við lykilorðsbeiðnina eða trufluð af netbreytingu.

Þegar það gerist byrjar næsta tilraun ekki hrein. Hún reynir að semja á meðan gamla tengslin taka enn stöðu jafningjans, og skiptin stöðvast í stað þess að mistakast með skýrri villu. Notandinn sér snúningsmerki, svo tímauppbót.

Finndu eigandann áður en þú drepur eitthvað, því svarið ræður því hvaða þjónustu þú endurræsir og hvaða skráningarblað þú lest næst.

sudo lsof -i :500 -i :4500
ps -ef | grep -E "racoon|iked"

Lestu úttakið sem tvær staðreyndir: hvaða ferli heldur gáttinni, og hvort fleiri en eitt sé til staðar. Tveir IKE-púkar sem keppa um sama sokkinn útskýra mikið slitrótt hegðun sem lítur út eins og óstöðugur netþjónn.

Endurræstu verkið, ekki ferlið

Á eldri kerfum nægir að drepa ferlið og láta næstu tengingu ræsa það aftur. Á núverandi útgáfum er púkinn stýrður af launchd, og að senda ferlinu eitt signal getur skilið verkið eftir í stöðu þar sem það hvorki keyrir né er áætlað til að byrja. Stöðvaðu og ræstu verkið í staðinn.

sudo launchctl stop com.apple.racoon
sudo launchctl start com.apple.racoon

Ef launchd hefur enga skrá um verkið þvingar að drepa ferlið eftir nafni samt nýjar samningaviðræður í næstu tilraun. Prófið er það sama í báðum tilvikum: ekkert ferli ætti að halda gáttinni þegar þú reynir að tengjast aftur. Staðfestu það með sömu skipun lsof í stað þess að gera ráð fyrir að endurræsingin hafi virkað.

Tengstu svo einu sinni og lestu skráningarblað biðlarans frá byrjun. Samningaviðræður sem komast framhjá 1. áfanga og tilkynna svo sendingarbilun endurtaka staðbundna sokkavandamálið; samningaviðræður sem jafninginn hafnar er allt annar miði.

Þegar netþjónninn er sá sem hafnar

Ekki mistekst önnur hver tenging staðbundið. Netþjónn getur hafnað nýrri innskráningu í fastan glugga eftir aftengingu, og tímauppbót biðlarans lítur nákvæmlega eins út og fastur púki. Aðgreiningin er ódýr: ef endurræsing púkans hjálpar ekki en annar reikningur tengist samstundis, er glugginn á netþjónshliðinni og Macinn var aldrei vandamálið.

Stefna klofins göngs framleiðir sama form frá hinni áttinni. Netþjónn sem krefst allrar umferðar í göngunum mun sleppa biðlara sem stilltur er fyrir klofið gang í samningaviðræðunum, og biðlarinn tilkynnir tímauppbót í stað stefnuhafnunar. Að breyta sniðinu til að senda allt í gegnum ganginn getur látið það tengjast, en það er stefnuákvörðun sem á að taka með eiganda netsins, ekki viðgerð sem á að beita hljóðlega.

Lestu skráningarblað jafningsins áður en þú breytir biðlaranum aftur. Hafnun, stefnuósamræmi og hljóðlát slepping eru þrjár ólíkar orsakir sem allar líta út eins og „tengist“ á skjá Macsins.

Eldri biðlarar og 64-bita kjarninn

Gamli Cisco IPSec-biðlarinn hleður kjarnaviðbót sem byggð er fyrir 32-bita og PowerPC kerfi. Á Mac sem ræstur er í 64-bita kjarnann getur sú viðbót ekki hlaðist, og biðlarinn mistekst snemma með villu 51 því hann nær alls ekki VPN-undirkerfinu. Ekkert magn af endurræsingum púkans lagar kjarnaviðbót með ranga arkitektúr.

Að hlaða viðbótinni aftur getur virkað um stund og mistekist svo aftur í næstu ræsingu. Varanlegu svörin eru að keyra eldri kjarnann þar sem hann er enn studdur, eða færa sig yfir í innbyggða biðlarann sem fylgir kerfinu. Athugaðu arkitektúrinn áður en þú eyðir kvöldi í þriðja aðila biðlara sem ekki er hægt að hlaða.

• Endurframleiddu einu sinni, athugaðu svo hvaða púki á UDP 500 áður en þú snertir sniðið.
• Lestu fyrstu bilunina eftir 1. áfanga: sendingarvilla bendir á staðbundna sokkinn.
• Endurræstu launchd-verkið, ekki bara ferlið, og staðfestu að gáttin sé laus.
• Prófaðu annan reikning til að aðskilja endurauðkenningarhluggann á netþjónshliðinni frá bilun biðlarans.
• Skráðu arkitektúr kjarnans áður en þú kennir biðlaranum um.

VPN sem virkar nákvæmlega einu sinni er stöðuvandamál þar til annað er sannað. Að hreinsa púkann er fljótlegra en endurræsing, og það varðveitir skráningarsönnunina sem endurræsing hefði hent.