Azure OpenVPN 터널이 약 예순 초마다 끊기는 이유

터널은 핸드셰이크를 마치고 약 일 분 동안 트래픽을 실어 나른 뒤 다시 연결됩니다. 이 순서는, 포트를 막는 방화벽이라면 세션이 아니라 핸드셰이크를 멈췄을 것이므로 흔한 용의자를 배제합니다. 지금 일어나는 일은 생존 여부에 대한 의견 불일치로, 한쪽이 상대가 조용해졌다고 판단해 작동 중인 터널을 내렸습니다. 로그 줄은 어느 쪽인지 알려 주고, 그 줄이 해결책을 정합니다.

어떤 타이머든 건드리기 전에 그 줄을 읽으세요.

오해: 경로의 무언가가 터널을 막고 있다

포트가 막혀 있었다면 연결은 처음부터 실패하고 계속 실패했을 것입니다. 반복되는 주기는 제어 메시지가 흐르고, 세션이 맺어지고, 대화 후반의 무언가가 계속 만료되고 있음을 뜻합니다. 차단은 침묵을 만들고, 이것은 리듬을 만듭니다.

리듬이 유용한 단서입니다. 타이머가 그것을 만들고, 패킷 손실은 거의 만들지 않습니다.

타이머보다 먼저 연결 해제 이유를 읽으세요

OpenVPN은 자기 이유를 이름으로 남기고, 각 이름은 서로 다른 하위 시스템을 가리킵니다. Session invalidated: KEEPALIVE_TIMEOUT은 만료되는 타이머이므로 양쪽 끝의 ping과 ping-restart 값을 비교하세요. AUTH_FAILED은 자격 증명이나 인증서 상태이며, 타이머를 바꿔도 도움이 되지 않습니다. TLS 오류는 양측이 keepalive 단계에 아예 도달하지 못했다는 뜻입니다.

연결 시각, 해제 시각, 그리고 간격이 초 단위로 안정적인지 기록하세요. 그 한 번의 측정이 설정된 일정과 우연을 구분합니다.

안정적인 간격은 타이머입니다. 흘러가는 간격은 경로 문제나 옮겨진 세션일 가능성이 큽니다.

끝내 합의하지 못한 두 keepalive 타이머

포털에서 내보낸 프로필에는 커뮤니티 서버 템플릿에서 복사한 keepalive 또는 ping-restart 줄이 아직 남아 있는 경우가 있습니다. 게이트웨이는 자체적인 죽은 피어 감지를 실행하고 자체 기대치를 강요하며, 두 일정이 일치할 필요는 없습니다. 두 일정이 어긋나면 클라이언트는 게이트웨이가 한 번도 동의한 적 없는 일정으로 다시 시작합니다.

두 값은 같은 제어가 아닙니다. ping은 클라이언트가 에코를 보내는 빈도이고, ping-restart은 터널을 내리기 전에 아무것도 듣지 못한 채 기다리는 시간입니다. 짧은 ping-restart를 설정한 프로필과 느리게 응답하는 게이트웨이는 조용한 기간마다 다시 시작하게 되며, 그것이 바로 일 분 주기의 모양입니다.

클라이언트 쪽 최소 변경은 프로필 최상위 수준에서, 모든 인라인 블록 밖에서 타이머를 무력화하는 것입니다:

keepalive 0 0

저장하고 프로필을 다시 불러온 뒤 다시 연결하세요. 이미 메모리에 있는 세션은 이전 값을 유지하므로 편집이 아무것도 하지 않은 것처럼 보이기도 합니다.

인증서 이름이 발밑에서 움직일 수 있습니다

Azure 인증서 인증은 클라이언트가 오늘 게이트웨이가 제시하는 이름을 신뢰하는지에 달려 있습니다. 오래된 다운로드의 verify-x509-name 줄은 게이트웨이 재구축이나 인증서 갱신으로 그 뒤에 바뀐 이름을 고정해 버릴 수 있으며, 불일치는 분명한 오류가 아니라 재연결 루프로 나타납니다. 그 줄을 지우면 연결이 복구되지만 검증도 사라지므로, 좋은 진단이면서 나쁜 영구 수정입니다. 터널이 유지되면 게이트웨이가 실제로 제시하는 이름으로 줄을 복원하세요.

게이트웨이를 편집하기 전에 같은 머신에서 두 번째 클라이언트 세대를 시험하세요. 한쪽은 루프를 돌고 다른 쪽은 유지된다면 프로필이 문제가 아닙니다.

무엇을, 어떤 순서로 바꿀지

다음으로 옮겨진 세션을 확인하세요. 하나의 인증서를 공유하는 두 장치가 서로를 밀어낼 수 있고, 양쪽이 계속 재연결하므로 결과가 주기적으로 보입니다. 같은 ID가 반복해서 나타나는 지점 간 세션 기록을 비교하세요.

그다음 몇 분 동안 연속 트래픽을 흘려 유휴 경로를 시험하세요. 트래픽이 흐르는 동안 끊김이 멈춘다면 중요한 타이머는 OpenVPN이 아니라 경로상의 NAT 장치나 로드 밸런서에 속합니다.

게이트웨이 설정은 이 네 가지 시험 후에만 바꿔야 합니다.