რატომ იწყვეტა Azure OpenVPN-ის გვირაბი დაახლოებით ყოველ სამოც წამში

გვირაბი ხელის ჩამორთმევას ასრულებს, დაახლოებით ერთი წუთი გადააქვს ტრაფიკი და შემდეგ ხელახლა უკავშირდება. ეს მიმდევრობა გამორიცხავს ჩვეულებრივ ეჭვმიტანილს, რადგან პორტის ბლოკირებადი ფაირვოლი ხელის ჩამორთმევას შეაჩერებდა და არა სესიას. რაც გაქვთ, სიცოცხლისუნარიანობაზე უთანხმოებაა: ერთმა მხარემ გადაწყვიტა, რომ მეორე გაჩუმდა და მოქმედი გვირაბი დაანგრია. ჟურნალის ხაზი ამბობს რომელი მხარე, და სწორედ ის ირჩევს გამოსწორებას.

წაიკითხეთ ეს ხაზი სანამ რომელიმე ტაიმერს შეეხებით.

მითი: გზაზე რაღაც გვირაბს ბლოკავს

პორტი რომ ბლოკირებული ყოფილიყო, კავშირი თავიდანვე ჩავარდებოდა და ჩავარდნილი დარჩებოდა. განმეორებადი ციკლი ნიშნავს, რომ საკონტროლო შეტყობინებები მიედინება, სესიები მყარდება და საუბრის შემდგომ ნაწილში რაღაც მუდმივად ვადას ამოწურავს. ბლოკირება სიჩუმეს ქმნის, ეს კი რიტმს ქმნის.

რიტმი სასარგებლო მინიშნებაა. ტაიმერები ქმნიან მას; პაკეტების დაკარგვა იშვიათად.

წაიკითხეთ გათიშვის მიზეზი ტაიმერამდე

OpenVPN ასახელებს თავის მიზეზს და ყოველი სახელი სხვა ქვესისტემაზე მიუთითებს. Session invalidated: KEEPALIVE_TIMEOUT ამოწურვადი ტაიმერია, ამიტომ შეადარეთ ping-ისა და ping-restart-ის მნიშვნელობები ორივე მხარეს. AUTH_FAILED სერთიფიკატები ან სერთიფიკატის მდგომარეობაა და ტაიმერის ცვლილება არ დაეხმარება. TLS შეცდომა ნიშნავს, რომ მხარეები keepalive ეტაპამდე საერთოდ არ მისულან.

ჩაწერეთ კავშირის დრო, გათიშვის დრო და ინტერვალის წამამდე სტაბილურობა. ეს ერთი გაზომვა გამოყოფს კონფიგურირებულ გრაფიკს შემთხვევითობისგან.

სტაბილური ინტერვალი ტაიმერია. მოძრავი უფრო სავარაუდოდ გზის პრობლემაა ან გადანაცვლებული სესია.

ორი keepalive ტაიმერი, რომლებიც არასოდეს შეთანხმდნენ

პორტალიდან ექსპორტირებული პროფილები ზოგჯერ კვლავ ატარებენ საზოგადოებრივი სერვერის შაბლონიდან კოპირებულ keepalive ან ping-restart ხაზებს. კარიბჭე საკუთარ მკვდარი პარტნიორის გამოვლენას ახორციელებს და საკუთარ მოლოდინებს ახვევს, და ორი გრაფიკი არ ვალდებულია დაემთხვეს. როცა ისინი განსხვავდებიან, კლიენტი ხელახლა იწყება გრაფიკით, რომელსაც კარიბჭე არასოდეს დათანხმებია.

ორი მნიშვნელობა ერთი და იგივე მართვა არ არის. ping არის რამდენად ხშირად აგზავნის კლიენტი ექოს, ხოლო ping-restart რამდენ ხანს ელოდება ვერაფრის გაგონების გარეშე სანამ გვირაბს დაანგრევს. პროფილი მოკლე ping-restart-ით და კარიბჭე, რომელიც ნელა პასუხობს, ყოველ მშვიდ პერიოდში გადაიტვირთებიან, რაც ზუსტად ერთწუთიანი ციკლის ფორმაა.

უმცირესი ცვლილება კლიენტის მხარეს არის ტაიმერების განეიტრალება პროფილის ზედა დონეზე, ყოველი ჩაშენებული ბლოკის გარეთ:

keepalive 0 0

შეინახეთ, ხელახლა ჩატვირთეთ პროფილი, ხელახლა დაუკავშირდით. მეხსიერებაში უკვე არსებული სესია ძველ მნიშვნელობებს ინახავს, ამიტომ რედაქტირება ზოგჯერ ისე გამოიყურება, თითქოს არაფერი გაუკეთებია.

სერთიფიკატის სახელი შეიძლება თქვენ ფეხქვეშ გადაიძროს

Azure-ის სერთიფიკატით ავთენტიფიკაცია დამოკიდებულია იმაზე, ენდობა თუ არა კლიენტი იმ სახელს, რომელსაც კარიბჭე დღეს წარადგენს. ძველ ჩამოტვირთვაში არსებული verify-x509-name ხაზი შეიძლება მიამაგროს სახელი, რომელიც კარიბჭის გადაკეთებამ ან სერთიფიკატის განახლებამ მას შემდეგ შეცვალა, და შეუსაბამობა ვლინდება გადაბმის მარყუჟად და არა მკაფიო შეცდომად. ხაზის წაშლა აღადგენს კავშირს, რაც მას კარგ დიაგნოსტიკად და ცუდ მუდმივ გამოსწორებად აქცევს, რადგან ამოწმებსაც აცილებს. როცა გვირაბი გაძლებს, აღადგინეთ ხაზი იმ სახელით, რომელსაც კარიბჭე რეალურად წარადგენს.

სანამ კარიბჭეს შეცვლით, სცადეთ კლიენტის მეორე თაობა იმავე მანქანაზე. თუ ერთი კლიენტი მარყუჟშია, მეორე კი ძლებს, პროფილი პრობლემა არ არის.

რა შეიცვალოს და რა თანმიმდევრობით

შემდეგ შეამოწმეთ გადანაცვლებული სესია. ერთ სერთიფიკატს გაზიარებული ორი მოწყობილობა შეიძლება ერთმანეთი გამოდევნოს, და შედეგი პერიოდული ჩანს, რადგან ორივე მხარე განაგრძობს გადაბმას. შეადარეთ წერტილიდან ადგილამდე სესიების ჩანაწერები იმავე იდენტობისთვის, რომელიც არაერთხელ ჩნდება.

შემდეგ სცადეთ უმოქმედო გზა რამდენიმე წუთის განმავლობაში უწყვეტი ტრაფიკის გაშვებით. თუ წყვეტები ჩერდება ტრაფიკის დინებისას, მთავარი ტაიმერი გზაზე მდებარე NAT მოწყობილობას ან დატვირთვის ბალანსირებელს ეკუთვნის და არა OpenVPN-ს.

კარიბჭის პარამეტრები მხოლოდ ამ ოთხი ტესტის შემდეგ უნდა შეიცვალოს.