Azure OpenVPN туннелі шамамен әр алпыс секунд сайын неге үзіледі

Туннель қол алысуды аяқтайды, шамамен бір минут трафик тасымалдайды, содан кейін қайта қосылады. Бұл реттілік әдеттегі күдіктіні жоққа шығарады, өйткені портты бөгейтін брандмауэр сессияны емес, қол алысуды тоқтатар еді. Сізде өміршеңдік туралы келіспеушілік бар: бір жақ екіншісі үнсіз қалды деп шешіп, жұмыс істеп тұрған туннельді құлатты. Журнал жолы қай жақ екенін айтады, және сол түзетуді таңдайды.

Кез келген таймерге тимес бұрын сол жолды оқыңыз.

Аңыз: жолдағы бір нәрсе туннельді бөгейді

Егер порт бөгелген болса, қосылым басында сәтсіз аяқталып, солай қалар еді. Қайталанатын цикл басқару хабарламалары ағып жатқанын, сессиялар орнап жатқанын және әңгіменің кейінгі бөлігінде бір нәрсенің үнемі мерзімі бітіп жатқанын білдіреді. Бөгеу үнсіздік тудырады, бұл болса ырғақ тудырады.

Ырғақ пайдалы белгі. Оны таймерлер тудырады; пакет жоғалту сирек.

Таймерден бұрын ажырау себебін оқыңыз

OpenVPN өз себебін атайды, және әр атау басқа ішкі жүйеге нұсқайды. Session invalidated: KEEPALIVE_TIMEOUT мерзімі бітетін таймер, сондықтан екі ұштағы ping және ping-restart мәндерін салыстырыңыз. AUTH_FAILED тіркелгі деректері немесе сертификат күйі, және таймерді өзгерту көмектеспейді. TLS қатесі тараптардың keepalive кезеңіне мүлдем жетпегенін білдіреді.

Қосылу уақытын, ажырау уақытын және интервалдың секундқа дейін тұрақты екенін жазып алыңыз. Сол бір өлшем конфигурацияланған кестені кездейсоқтықтан ажыратады.

Тұрақты интервал – таймер. Жылжып жатқан интервал не жол мәселесі, не жылжыған сессия болуы ықтимал.

Ешқашан келіспеген екі keepalive таймері

Порталдан экспортталған профильдер кейде қауымдастық серверінің үлгісінен көшірілген keepalive немесе ping-restart жолдарын әлі де алып жүреді. Шлюз өзінің өлі серіктесін анықтауын жүргізіп, өз күтулерін таңады, және екі кестенің сәйкес болуы міндетті емес. Олар қайшы келсе, клиент шлюз ешқашан келіспеген кесте бойынша қайта іске қосылады.

Екі мән бір басқару емес. ping клиенттің қаншалықты жиі жаңғырық жіберетіні, ал ping-restart туннельді құлатар алдында ештеңе естімей қанша күтетіні. Қысқа ping-restart орнатқан профиль мен баяу жауап беретін шлюз әр тыныш кезеңде қайта іске қосылады, бұл дәл бір минуттық циклдің пішіні.

Клиент жағындағы ең аз өзгеріс – профильдің жоғарғы деңгейінде, әр кірістірілген блоктан тыс таймерлерді бейтараптандыру:

keepalive 0 0

Сақтаңыз, профильді қайта жүктеңіз, қайта қосылыңыз. Жадыда бұрыннан бар сессия ескі мәндерді сақтайды, сондықтан өңдеу кейде ештеңе істемегендей көрінеді.

Сертификат атауы аяғыңыздың астынан жылжуы мүмкін

Azure сертификатымен аутентификация клиенттің шлюз бүгін ұсынатын атауға сенуіне байланысты. Ескірек жүктемедегі verify-x509-name жолы шлюзді қайта құру немесе сертификатты жаңарту одан бері өзгерткен атауды бекітіп қоюы мүмкін, ал сәйкессіздік айқын қате емес, қайта қосылу циклі ретінде көрінеді. Жолды жою байланысты қалпына келтіреді, бұл оны жақсы диагностика және нашар тұрақты түзету етеді, өйткені тексеруді де алып тастайды. Туннель ұсталғаннан кейін жолды шлюз шын мәнінде ұсынатын атаумен қалпына келтіріңіз.

Шлюзді өңдемес бұрын сол машинада клиенттің екінші буынын сынап көріңіз. Бір клиент циклде болып, екіншісі ұстап тұрса, профиль мәселе емес.

Нені өзгерту керек және қандай ретпен

Содан кейін жылжыған сессияны тексеріңіз. Бір сертификатты бөлісетін екі құрылғы бір-бірін шығарып жіберуі мүмкін, және нәтиже мерзімді болып көрінеді, өйткені екі жақ та қайта қосылуды жалғастырады. Бірдей сәйкестендірудің қайта-қайта пайда болатын нүктеден сайтқа сессия жазбаларын салыстырыңыз.

Содан кейін бірнеше минут үздіксіз трафик жүргізу арқылы бос жолды сынаңыз. Трафик ағып жатқанда үзілістер тоқтаса, маңызды таймер OpenVPN-ге емес, жолдағы NAT құрылғысына немесе жүктеме теңестіргішіне тиесілі.

Шлюз параметрлері тек осы төрт сынақтан кейін өзгертілуі керек.