Perché vpnc si disconnette dopo 24 minuti e cosa cambiare

Il tuo tunnel muore a un intervallo ripetibile, e questo è un timer che si segnala da solo, non un cavo difettoso. Ventiquattro minuti sono 1440 secondi, il tipo di valore tondo che porta un profilo o una policy dell’head-end. Poi la stessa configurazione fallisce contro lo stesso concentratore ogni volta mentre ogni altra rete funziona, e nessun test del collegamento lo cambia.

Tre condizioni decidono quale timer è il tuo: se il client abbandona una sessione inattiva, se lo scambio di rinnovo delle chiavi viene rifiutato e se un gateway di traduzione ha riscritto l’incapsulamento.

Quale timer possiede la caduta

Misura l’intervallo su almeno tre riconnessioni prima di toccare un’impostazione. Una dispersione di secondi indica perdita del collegamento o roaming wireless; un valore che cade ogni volta entro pochi secondi dallo stesso segno indica un valore di policy. Anche la durata della sessione dice chi l’ha terminata, perché un timeout lato client e una cancellazione lato server lasciano righe finali diverse nell’output di debug. Tre riconnessioni rivelano anche se l’intervallo deriva, cosa che una sola misurazione non può mostrare.

Annota il numero accanto all’head-end con cui stavi parlando. Una volta che l’intervallo è stabile, il lavoro che resta è scegliere tra tre cause, e una sola impostazione cambiata per riconnessione è ciò che le mantiene distinguibili.

Caso uno: il client abbandona una sessione inattiva

vpnc esegue il proprio controllo del peer morto, e quel controllo può uccidere una sessione che il concentratore crede ancora viva, soprattutto quando tra i due c’è un gateway di traduzione. Il rimedio lato client nella documentazione è spegnere il timer localmente e lasciare che l’head-end decida quando un peer è sparito. Entrambe le righe sotto vanno nel profilo vpnc o sulla riga di comando, ed entrambe sono indipendenti dalle impostazioni di cifratura.

DPD idle timeout (our side) 0
NAT Traversal Mode cisco-udp

Disattivare il DPD del client elimina un falso positivo ed elimina anche la tua unica rilevazione locale, quindi applicalo da solo e guarda se l’intervallo cambia del tutto.

Caso due: il rinnovo delle chiavi viene rifiutato

Se l’intervallo sopravvive al cambio di DPD, il rinnovo delle chiavi della fase 1 diventa il candidato. Le versioni più vecchie di vpnc gestivano il rinnovo con meno cura di quelle attuali, e il gruppo Diffie-Hellman è il disaccordo abituale. Forzare un gruppo che l’head-end accetta già costa una riga e una riconnessione, il che lo rende un esperimento economico e non un cambio di policy.

IKE DH Group dh5

I nomi di gruppo validi sono dh1, dh2 e dh5. Un gruppo che il concentratore rifiuta produce un fallimento immediato, e anche questo è informazione: ti dice che l’head-end è esigente e che il gruppo originale era probabilmente corretto.

Caso tre: la traduzione riscrive l’incapsulamento

Dietro un gateway di traduzione, l’incapsulamento UDP di Cisco e la modalità basata sugli standard non sono intercambiabili. La scelta sbagliata produce spesso un tunnel che si stabilisce, fa passare traffico e poi scade sotto carico, il che si legge come un problema di banda e non lo è. Cambia solo la modalità, poi riconnettiti e cronometra di nuovo la caduta. Prova l’altra modalità solo dopo aver escluso i primi due casi.

Le interfacce aggiungono qui la propria confusione. NetworkManager non offrirà un tipo di connessione vpnc finché il pacchetto del plugin non è installato, e un plugin mancante appare come un pulsante Aggiungi in grigio invece che come un errore. L’interfaccia di KDE conserva gli stessi valori in un proprio profilo, quindi verifica che il demone legga ciò che hai modificato.

Un profilo che si connette bene dalla riga di comando ma non dal desktop è un problema di interfaccia, non un problema di timer.

Verifica lo scambio che fallisce prima del terzo cambiamento

Avvia il client con l’output di debug e leggi l’ultimo scambio prima della caduta. Una cancellazione della fase 1 subito prima della disconnessione significa che il client ha rinnovato le chiavi ed è stato rifiutato. Una cancellazione della fase 2 nello stesso punto significa che il tunnel è stato smontato dall’altra parte, e le tue impostazioni client non sono la causa.

vpnc --debug 3 office

Controlla anche un secondo demone di rete quando il tunnel sopravvive ma il traffico si ferma. Due gestori che scrivono la tabella di routing producono lo stesso sintomo dal desktop e un log completamente diverso.