UDP-VPN stöðvast í hvíld: eldveggurinn gleymdi flæðinu þínu

VPN-ið tengist, virkar um stund og hættir síðan að hleypa umferð í gegn á meðan biðlarinn sýnir enn setu. Endurtenging lagar það, sem lætur það líta út eins og villu í biðlinum. Venjulega er það eldveggur eða NAT-tæki sem henti hvíldu UDP-vörpun og veit ekki að göngin eru enn til.

Einkennin eru nógu samkvæm til að greina: þau koma fram eftir hvíld, ekki undir álagi.

Hvernig stöðvun í hvíld lítur út

Mældu hana í stað þess að lýsa henni. Skrifaðu niður hve lengi göngin liggja í hvíld áður en umferð stöðvast, hvort nýtt útfarandi pakki endurlífgar þau og hvort viðmót biðlarans heldur enn vistfangi sínu. Ef ný beiðni frá biðlinum virkar en svar við fyrirliggjandi flæði ekki, er vörpunin grunaði. Ef ekkert virkar fyrr en þú tengist aftur, er setustöðu biðlarans líka glatað.

Bæði tengjast hvíld, og þau þurfa mismunandi úrbætur.

Skrifaðu tímana niður áður en þú breytir nokkru. Skýrsla um að það stöðvist eftir um það bil tíu hvíldarmínútur er prófanleg, en skýrsla um að það detti af handahófi er það ekki. Sá munur ræður því hvort þú eltir tímamæli eða breytingu á leiðvöldum.

Finndu tækið sem gleymdi

Nokkur tæki geta haldið stöðu fyrir sama flæði: heimaleiðvörpulinn, þýðandi ofar í keðjunni, skýjalandamæri og eldveggur hýsilsins. Hvert hefur sinn eigin tímamæli, og sá stysti vinnur. Fimm mínútna truflun þýðir venjulega að eitt tæki er stillt mun lægra en hin.

Ekki gera ráð fyrir að skjalfest sjálfgefna gildið sé tímamörkin á leiðinni þinni. Það er sjálfgefið gildi eins tækis.

• Heimaleiðvörpull: oft mínútur, stundum miklu minna.
• Skýja-NAT eða hleðsludreifir: flettu upp skjalfestum hvíldartímamörkum sérstaklega fyrir UDP.
• Eldveggur hýsilsins: rakningartímamælar netfilter gilda fyrir hvert flæði.

Athugaðu tímamælana á raunverulegu leiðinni

Á Linux eru rakningartímamælar netfilter sýnilegir og stillanlegir: sysctl net.netfilter.nf_conntrack_udp_timeout og net.netfilter.nf_conntrack_udp_timeout_stream. Sá seinni gildir þegar umferð hefur sést í báðar áttir, sem er ástæðan fyrir því að uppsett göng geta lifað lengur en bert próf.

RFC 4787 setur fram hegðun UDP NAT og ráðlagðar lágmarkstölur. Það er tilvísunin sem á að vitna í þegar sjálfgefið gildi framleiðanda virðist óvenju stutt.

Keepalive og endurtenging eru mismunandi verkfæri

Keepalive heldur vörpun lifandi; endurtenging byggir dauða setu upp á nýtt. Þau leysa mismunandi bilun og eru ekki skiptanlegar hraðastillingar. Valkosturinn PersistentKeepalive í WireGuard sendir pakka með föstu millibili til að halda NAT-tengingunni opinni. Valkosturinn keepalive í OpenVPN gerir sama verk á sinn hátt. Hvorugt hjálpar ef tækið í miðjunni hefur þegar gleymt flæðinu og hendir báðum áttum.

Mjög tíð próf bæta við vinnu án þess að laga röngu mörkin.

Sannreyndu með nýrri beiðni, ekki með endurhleðslu síðu

Eftir að hafa breytt tímamæli eða bætt við keepalive, endurtaktu hvíldarsviðsmyndina nákvæmlega eins og áður. Gerðu síðan virkilega nýja beiðni frá forritinu sem er þakið. Flipi í vafra sem þegar var hlaðinn getur birst úr skyndiminni og segir þér ekkert.

Ef stöðvunin heldur áfram, færðu þig eitt stökk út og athugaðu stöðutöflu þess tækis.