VPN бір аралықта ажырайды? Таймерді сәйкестендіріңіз
Тұрақты аралықтағы үзіліс — саусақ ізі. Бірдеңені өзгертуден бұрын туннель кілттерінің жаңаруын, NAT бос тұру таймерін, DHCP жалдауын және аккаунт шегін салыстырыңыз.
Әр он бес минут сайын немесе әр сағат сайын бір минутта өлетін туннель сізге желінің тұрақсыздығын емес, қандай да бір таймердің біткенін айтады. Пайдалы қадам — аралықты жазып алу және оны осы үлгіні тудыратын төрт таймермен салыстыру. Ол салыстыруға дейін уақыт шектерін өзгерту әдетте ақауды түсіндірмей-ақ жылжытады, бұл келесі оқиғаны біріншісінен оқуға қиын етеді. Өлшеу он минут алады және бір апталық болжамды алмастырады.
Аралықты санға айналдырыңыз
Бес немесе алты оқиға жинап, олардың арасындағы айырманы есептеңіз, күннің басынан емес. 09:12, 10:12 және 11:12-де ажырау сағаттық шекара; 09:12, 09:27 және 09:42-де ажырау соңғы сәтті қосылымнан он бес минут. Нәтижені ең жақын минутқа емес, ең ықтимал таймерге дөңгелектеңіз.
Әр оқиға үшін екі сәтті жазыңыз: трафик соңғы рет қашан қозғалды және клиент ажырау туралы қашан хабарлады. Туннель үнсіз өліп, клиент мұны тек келесі жіберуде байқағанда олар ерекшеленеді, және дәл осы айырма бос тұру тайм-аутын қатты ақаудан бөледі. Кеш байқайтын клиент сіз өлшейтін бос тұру терезесін үлкейтеді.
Қайта қосылудың автоматты екенін байқаңыз. Секундтар ішінде қайта қосылатын клиент аралықты журналда көрінетін және пайдаланушы есебінен тыс ұстайды, сондықтан бұл ақаулар жиі мерзімді емес, кездейсоқ деп сипатталады. Ол сондай-ақ оқиғаны ноутбукті пайдаланатын адамнан жасырады.
Бір-біріне ұқсайтын төрт таймер
Туннельдің қайталанатын құлауының барлығы дерлік мыналардың бірінен болады: протокол кілттерінің жаңаруы, бос тағайындаудың мерзімінің бітуі, DHCP немесе интерфейс оқиғасы, немесе аккаунт саясаты. Олар трафик ағып тұрғанына және шекарада журналдың не айтатынына қарай ерекшеленеді.
Төмендегі белгілерді үйренуге тұрарлық, өйткені олар бір журнал жолымен үш түсіндірмені жоққа шығаруға мүмкіндік береді:
| Timer | Typical trigger | What the log shows at the boundary |
|---|---|---|
| Protocol rekey | Traffic present, fixed interval | Negotiation lines, sometimes a failure |
| NAT or firewall idle | No traffic for minutes | Silence, then a timeout on send |
| DHCP lease or link change | Half the lease, or a radio event | Address or interface churn |
| Account session limit | Wall-clock hours since login | Clean disconnect, server-side reason |
Бірінші жол — өз жұмысын істеп тұрған қауіпсіздік механизмі, ал екіншісі — күйді ұмытатын аралық құрылғы. Оларды шатастыру не кілттердің жаңаруын әлсіретуге, не ешқашан қатыспаған брандмауэр ережесінің соңынан қууға әкеледі.
Бос емес пе, әлде бос па — қай жартысы екенін айтады
Үздіксіз трафикпен бақыланатын салыстыру жасаңыз, мысалы туннель ішіндегі хостқа ұзақ ағын, және аралықтың өзгеретінін бақылаңыз. Деректер ағып жатқанда ажырау жоғалса, таймер бос тұруға негізделген.
Егер ол үздіксіз трафикке төтеп берсе, себеп кілттердің жаңаруына, жалдауға немесе саясатқа жатады. Осы бір сынақ шамамен бір сағаттық бақылауда үміткерлердің жартысын алып тастайды және назардан басқа ештеңе тұрмайды.
Сынақ кезінде кіру желісін өзгеріссіз ұстаңыз. Салыстыру ортасында Wi-Fi мен Ethernet арасында ауысу дәл сіз таймерден ажыратпақ болған интерфейс оқиғасын әкеледі.
Журнал жолын шекарамен сәйкестендіріңіз
Жазылған сәттің айналасындағы клиент пен сервер журналдарын оқыңыз, бүкіл файлды емес. Кілттердің жаңаруы келіссөзді көрсетеді; бос тұрудың бітуі келесі пакетке дейін ештеңе көрсетпейді; жалдаудың өзгеруі мекенжай жұмысын көрсетеді; саясат шегі әдетте таза әкімшілік ажырауды көрсетеді.
Бұл командалар әр көзден тиісті терезені шығарады:
grep -iE "reneg|TLS Error|Inactivity" /var/log/openvpn.log | tail -20
journalctl -u NetworkManager --since "-90 min" | grep -iE "dhcp|link"
wg showЕгер үш көз уақыт белгісінде келіссе, таймердің иесін білесіз. Егер тек клиент журналында бірдеңе болса, сессияны аяқтайтын сервер болмауы мүмкін.
Кезеңді түзетіңіз, белгішені емес
Әр иесінің бір қолдау көрсетілетін жөндеуі бар. Кілттер жаңаруының ақауы екі ұшта үйлесімді ұсыныстарды қажет етеді. Бос тұрудың бітуі жол рұқсат ететін шекте өмір белгісін немесе қысқарақ бос тұру күтуін қажет етеді. Жалдау оқиғасы интерфейс немесе қуат параметрлерін реттеуді қажет етеді. Аккаунт шегі — саясат шешімі, ақау емес.
Белгішені жасыл ұстау үшін кілттердің жаңаруын немесе аутентификацияны өшіру көрінетін құлауды көрінбейтін әлсіздікке айырбастайды және туннельдің соңғы рет қашан жаңа кілттер туралы келіскенін айту мүмкіндігінен айырады. Кейін бастапқы ұзақтықты қайта сынап, уақыт белгілерін сақтаңыз, сонда келесі оқиғаны нөлден бастаудың орнына осымен салыстыруға болады.