VPN იგივე ინტერვალში წყდება? შეუსაბამე ტაიმერი
ფიქსირებულ ინტერვალში წყვეტა თითის ანაბეჭდია. სანამ რამეს შეცვლით, შეადარე გვირაბის გასაღებების განახლება, NAT-ის უმოქმედობის ტაიმერი, DHCP-ის იჯარა და ანგარიშის ლიმიტი.
გვირაბი, რომელიც ყოველ თხუთმეტ წუთში ან ყოველ საათში იმავე წუთზე კვდება, გეუბნება, რომ რაღაც ტაიმერი ამოიწურა და არა ის, რომ ქსელი არასტაბილურია. სასარგებლო ნაბიჯია ინტერვალის ჩაწერა და მისი შედარება იმ ოთხ ტაიმერთან, რომლებიც ამ ნიმუშს ქმნიან. ამ შედარებამდე ვადების შეცვლა ჩვეულებრივ გადააქვს ხარვეზი მისი ახსნის გარეშე, რაც შემდეგ შემთხვევას პირველზე ძნელად წასაკითხს ხდის. გაზომვა ათი წუთი გრძელდება და კვირეულ ვარაუდს ცვლის.
აქციე ინტერვალი რიცხვად
შეაგროვე ხუთი ან ექვსი შემთხვევა და გამოთვალე მათ შორის შუალედი, და არა დღის დასაწყისიდან. 09:12-ზე, 10:12-ზე და 11:12-ზე წყვეტა საათობრივი ზღვარია; 09:12-ზე, 09:27-ზე და 09:42-ზე წყვეტა ბოლო წარმატებული კავშირიდან თხუთმეტი წუთია. დამრგვალე შედეგი ყველაზე სავარაუდო ტაიმერზე და არა უახლოეს წუთზე.
თითოეული მოვლენისთვის ორი მომენტი ჩაწერე: როდის გადაადგილდა ტრაფიკი ბოლოს და როდის შეატყობინა კლიენტმა გათიშვის შესახებ. ისინი განსხვავდება, როცა გვირაბი ჩუმად კვდება და კლიენტი ამას მხოლოდ შემდეგ გაგზავნაზე ამჩნევს, და სწორედ ეს სხვაობა ჰყოფს უმოქმედობის ვადას მყარ ხარვეზისგან. დაგვიანებით შემჩნევი კლიენტი გაზრდის იმ უმოქმედობის ფანჯარას, რომელსაც ზომავ.
ყურადღება მიაქციე, ავტომატურია თუ არა ხელახალი დაკავშირება. კლიენტი, რომელიც წამებში ხელახლა უკავშირდება, ინტერვალს ჟურნალში ხილულად და მომხმარებლის ანგარიშგების გარეთ ინახავს, ამიტომ ამ ხარვეზებს ხშირად შემთხვევით, და არა პერიოდულად აღწერენ. ის ასევე მალავს მოვლენას ლეპტოპის მომხმარებლისგან.
ოთხი ტაიმერი, რომლებიც ერთნაირად გამოიყურება
გვირაბის თითქმის ყველა განმეორებითი ვარდნა ერთ-ერთი ამათგან მოდის: პროტოკოლის გასაღებების განახლება, უმოქმედო რუკების ვადის გასვლა, DHCP ან ინტერფეისის მოვლენა, ან ანგარიშის პოლიტიკა. ისინი განსხვავდებიან იმით, მიდიოდა თუ არა ტრაფიკი და რას ამბობს ჟურნალი ზღვარზე.
ქვემოთ მოცემული ნიშნები სწავლად ღირს, რადგან ისინი საშუალებას გაძლევენ ერთი ჟურნალის სტრიქონით უარყო სამი ახსნა:
| Timer | Typical trigger | What the log shows at the boundary |
|---|---|---|
| Protocol rekey | Traffic present, fixed interval | Negotiation lines, sometimes a failure |
| NAT or firewall idle | No traffic for minutes | Silence, then a timeout on send |
| DHCP lease or link change | Half the lease, or a radio event | Address or interface churn |
| Account session limit | Wall-clock hours since login | Clean disconnect, server-side reason |
პირველი სტრიქონი უსაფრთხოების მექანიზმია, რომელიც თავის საქმეს აკეთებს, ხოლო მეორე შუამავალი მოწყობილობაა, რომელსაც მდგომარეობა ავიწყდება. მათი არევა ან გასაღებების განახლების შესუსტებას იწვევს, ან ფაილვოლის იმ წესის დევნას, რომელიც არასდროს ყოფილა ჩართული.
დაკავებული თუ უმოქმედო გეტყვის, რომელი ნახევარია
ჩაატარე კონტროლირებადი შედარება უწყვეტ ტრაფიკთან, მაგალითად გრძელი ნაკადი გვირაბის შიგნით არსებულ ჰოსტთან, და დააკვირდი, იცვლება თუ არა ინტერვალი. თუ წყვეტა ქრება მონაცემების დინებისას, ტაიმერი უმოქმედობას ეფუძნება.
თუ ის უძლებს უწყვეტ ტრაფიკს, მიზეზი გასაღებების განახლებას, იჯარას ან პოლიტიკას ეკუთვნის. ეს ერთი ტესტი დაახლოებით საათიან დაკვირვებაში კანდიდატების ნახევარს აშორებს და მხოლოდ ყურადღება ღირს.
ტესტის დროს წვდომის ქსელი უცვლელად შეინარჩუნე. Wi-Fi-სა და Ethernet-ს შორის გადართვა შედარების შუაში ზუსტად იმ ინტერფეისის მოვლენას შემოიტანს, რომელსაც ტაიმერისგან გამოყოფას ცდილობ.
შეუსაბამე ჟურნალის სტრიქონი ზღვარს
წაიკითხე კლიენტისა და სერვერის ჟურნალები ჩაწერილი მომენტის ირგვლივ და არა მთელი ფაილი. გასაღებების განახლება მოლაპარაკებას აჩვენებს; უმოქმედობის ვადის გასვლა არაფერს აჩვენებს შემდეგ პაკეტამდე; იჯარის ცვლილება მისამართის სამუშაოს აჩვენებს; პოლიტიკის ლიმიტი ჩვეულებრივ სუფთა ადმინისტრაციულ გათიშვას აჩვენებს.
ეს ბრძანებები თითოეული წყაროდან შესაბამის ფანჯარას იღებენ:
grep -iE "reneg|TLS Error|Inactivity" /var/log/openvpn.log | tail -20
journalctl -u NetworkManager --since "-90 min" | grep -iE "dhcp|link"
wg showთუ სამი წყარო დროის ნიშანზე თანხმდება, ტაიმერის მფლობელი იცი. თუ მხოლოდ კლიენტის ჟურნალში რაღაც არის, სავარაუდოდ სერვერი არ ასრულებს სესიას.
გაასწორე საფეხური და არა ხატულა
თითოეულ მფლობელს ერთი მხარდაჭერილი შეკეთება აქვს. გასაღებების განახლების ხარვეზს ორივე ბოლოში თავსებადი შეთავაზებები სჭირდება. უმოქმედობის ვადის ამოწურვას სიცოცხლის სიგნალი ან უფრო მოკლე უმოქმედობის მოლოდინი სჭირდება, იმ ფარგლებში, რასაც გზა უშვებს. იჯარის მოვლენას ინტერფეისის ან კვების პარამეტრების მოწესრიგება სჭირდება. ანგარიშის ლიმიტი პოლიტიკის გადაწყვეტილებაა და არა შეცდომა.
ხატულის მწვანედ შესანარჩუნებლად გასაღებების განახლების ან ავთენტიფიკაციის გამორთვა ხილულ ვარდნას უხილავ სისუსტეში ცვლის და გტოვებს იმის თქმის უნარს, როდის მოლაპარაკებდა გვირაბი ბოლოს ახალ გასაღებებზე. შემდეგ ხელახლა გამოსცადე საწყისი ხანგრძლივობა და შეინახე დროის ნიშნები, რათა შემდეგი მოვლენა ამას შევადაროთ და არა თავიდან დავიწყოთ.