Perché la tua VPN cade ogni volta che le chiavi ruotano

La connessione funziona per un’ora e poi muore, e il client non riporta nulla di più utile di disconnected. Quel periodo è l’indizio, perché qualcosa nello scambio di rinnovo differisce dall’handshake iniziale. Il timer decide solo quando lo incontrerai. Conserva i messaggi di quello scambio invece dell’etichetta finale.

Leggi la fase, non l’etichetta

In IKEv2 l’associazione IKE e l’associazione CHILD si rinnovano secondo calendari separati. Una proposta accettabile per la prima negoziazione non è automaticamente accettabile per la seconda. Una può completarsi mentre l’altra viene rifiutata, il che produce un tunnel che esiste a metà. Cattura lo scambio con lo strumento che lo possiede invece di una riga di log del client:

swanctl --list-sas
swanctl --log --level 2
ip xfrm state list

Per OpenVPN, l’evento equivalente è una rinegoziazione governata dalla versione e dalle impostazioni di distribuzione. Il suo comportamento di autenticazione ha i propri modi di fallire. Il messaggio che conta nomina la fase fallita, e dovresti registrarlo alla lettera invece di parafrasarlo in un ticket.

Annota anche i timestamp. Una caduta a intervallo fisso dopo l’ultima negoziazione riuscita è un riscontro molto diverso da una che arriva a caso durante l’uso, e l’intervallo è spesso l’unica prova che sopravvive.

Confronta la proposta che fallisce

Una proposta rifiutata produce un messaggio chiaro sul responder. La causa abituale è una differenza tra i due estremi in algoritmo, lunghezza della chiave, gruppo o durata. La negoziazione CHILD iniziale può essere riuscita perché l’ha avviata l’altro lato, il che significa che ha usato la lista di proposte dell’altro lato. Guarda entrambi gli estremi prima di cambiare qualcosa.

Le discrepanze di durata meritano attenzione speciale, perché un valore che sembrava generoso a un estremo può far avviare all’altro un rinnovo che non riesce a completare. La documentazione sul comportamento di rekeying descrive come viene attivato il rinnovo dell’associazione e come i due estremi possono differire nelle loro aspettative temporali. Confronta ciò che ciascun estremo dichiara di supportare invece di ciò che suggerisce il file di configurazione.

Un vecchio profilo o un modello del provider possono fissare una proposta che la versione attuale non offre più. La discrepanza emerge solo quando viene forzata una nuova negoziazione.

Separa un problema di credenziali da un peer irraggiungibile

Un rinnovo che fallisce l’autenticazione appare simile nel client e del tutto diverso sul server. Se una credenziale viene ricontrollata alla rinegoziazione, un certificato scaduto, un account revocato o una password cambiata produrranno una caduta esattamente all’intervallo di rinnovo mentre ogni connessione precedente era riuscita. Un peer irraggiungibile è la terza possibilità, e non produce alcun rifiuto: i pacchetti escono e nulla risponde. Quel caso di solito segue un cambiamento di rete invece di un timer, quindi controlla se il guasto arriva dopo un roaming, un periodo di inattività o un cambio di rotta.

Distingui i tre da ciò che ha registrato l’estremo remoto. Un rifiuto con motivo, un fallimento di autenticazione e il silenzio sono tre correzioni diverse. Riavviare il client li riduce a un’unica osservazione inutile.

Controlla le date del certificato e lo stato dell’account prima di dare la colpa alla rete. Entrambi sono economici da ispezionare ed entrambi sono invisibili nel messaggio del client stesso.

Forza un rinnovo e leggi il risultato

Forza un rinnovo con il metodo supportato dall’operatore invece di aspettare un’ora per il successivo. Mantieni intatta la politica di fallimento richiesta mentre lo fai. Disattivare la verifica o allungare le durate a un giorno fa sparire il sintomo dai tuoi log senza correggere nulla. Lascia anche un’interruzione più lunga in attesa per la persona successiva.

Una volta che la correzione è in atto, controlla il tunnel rinnovato e poi invia una nuova richiesta dall’applicazione. Una sessione applicativa ancora viva quando l’associazione è cambiata può aver bisogno di un proprio recupero anche se il tunnel è di nuovo sano. Gli utenti lo segnaleranno come VPN ancora guasta.

Registra le versioni rilasciate, i timer negoziati e la fase che ha fallito. La prossima ricorrenza potrà quindi essere confrontata con questa invece di essere descritta di nuovo a memoria.