UDP аркылуу VPN бош турганда токтойт: firewall сиздин агымыңызды унутуп койду

VPN туташат, бир аз иштейт, анан кардар дагы эле сессияны көрсөтүп турганда трафикти өткөрүүнү токтотот. Кайра туташуу муну оңдойт, ошондуктан кардардын катасындай көрүнөт. Адатта бул бош UDP шайкештирүүнү таштап салган жана туннелдин дагы бар экенин билбеген firewall же NAT түзмөгү.

Симптом диагноз коюуга жетиштүү туруктуу: ал аракетсиздиктен кийин пайда болот, жүктөө учурунда эмес.

Бош туруудан болгон токтоо кандай көрүнөт

Аны сүрөттөөнүн ордуна өлчөңүз. Трафик токтогонго чейин туннел канча убакыт бош турганын, жаңы чыгуучу пакет аны кайра жандандырабы, кардар интерфейси дагы эле өз дарегин кармап турабы — ошону жазып алыңыз. Кардардан жаңы сурам иштесе, бирок учурдагы агымга жооп иштебесе, шайкештирүү шектүү. Кайра туташканга чейин эч нерсе иштебесе, кардардын сессия абалы да жоголгон.

Экөө тең бош турууга байланыштуу жана ар башка оңдоону талап кылат.

Бир нерсени өзгөртүүдөн мурун убакыттарды жазыңыз. Болжол менен он бош мүнөттөн кийин токтойт деген отчет текшерилүүчү, ал эми туш келди үзүлөт деген отчет текшерилбейт. Бул айырма таймердин артынан барасызбы же маршрут өзгөрүүсүнүн артынан барасызбы — ошону чечет.

Унутуп койгон түзмөктү табыңыз

Бир агым үчүн бир нече түзмөк абалды сактай алат: жергиликтүү маршрутизатор, жогорку которуучу, булут чеги жана хосттун firewall-ы. Ар биринин өз таймери бар, эң кыскасы жеңет. Беш мүнөттүк үзгүлтүк адатта бир түзмөк башкаларга караганда бир топ төмөн конфигурацияланганын билдирет.

Документтелген демейки маани сиздин жолуңуздагы убакыт чеги деп ойлобоңуз. Бул бир түзмөктүн демейки мааниси.

• Үй маршрутизатору: көбүнчө мүнөттөр, кээде бир топ аз.
• Булуттук NAT же жүк теңдештиргич: UDP үчүн атайын документтелген бош туруу убакыт чегин издеңиз.
• Хосттун firewall-ы: netfilter көзөмөл таймерлери ар бир агымга колдонулат.

Таймерлерди иш жүзүндөгү жолдо текшериңиз

Linux-та netfilter көзөмөл таймерлери көрүнөт жана жөнгө салынат: sysctl net.netfilter.nf_conntrack_udp_timeout жана net.netfilter.nf_conntrack_udp_timeout_stream. Экинчиси трафик эки багытта тең көрүнгөндөн кийин колдонулат, ошондуктан орнотулган туннел жөнөкөй сыноодон узак жашай алат.

RFC 4787 UDP NAT жүрүм-турумун жана сунушталган минимумдарды аныктайт. Өндүрүүчүнүн демейки мааниси адаттан тыш кыска көрүнгөндө шилтеме кылуучу булак ушул.

Keepalive жана кайра туташуу — ар башка куралдар

Keepalive шайкештирүүнү тирүү кармайт; кайра туташуу өлгөн сессияны кайра курат. Алар ар башка бузулууларды чечет жана бири-бирине алмаштырылуучу ылдамдык жөндөөлөрү эмес. WireGuard'дын PersistentKeepalive белгиленген аралыкта пакет жиберип, NAT байланышын ачык кармайт. OpenVPN'дин keepalive опциясы ошол эле ишти өзүнчө аткарат. Ортодогу түзмөк агымды мурунтан унутуп, эки багытты тең таштап жатса, экөө тең жардам бербейт.

Өтө тез-тез сыноолор иш кошот, бирок туура эмес чекти оңдобойт.

Баракты кайра жүктөө менен эмес, жаңы сурам менен текшериңиз

Таймерди өзгөрткөндөн же keepalive кошкондон кийин бош туруу сценарийин мурункудай так кайталаңыз. Анан камтылган колдонмодон чыныгы жаңы сурам жасаңыз. Мурун жүктөлгөн браузер өтмөгү кэштен көрсөтүлүшү мүмкүн жана сизге эч нерсе айтпайт.

Токтоо уланса, бир хоп сыртка жылдырылып, ошол түзмөктүн абал таблицасын текшериңиз.