Azure OpenVPN туннели болжол менен ар алтымыш секунд сайын эмнеге үзүлөт

Туннель кол алышууну аяктайт, болжол менен бир мүнөт трафик ташыйт, анан кайра туташат. Бул ырааттуулук адаттагы шектүүнү жокко чыгарат, анткени портту тоскон брандмауэр сессияны эмес, кол алышууну токтотмок. Сизде жашоо жөндөмдүүлүгү тууралуу пикир келишпестик бар: бир тарап экинчиси үнсүз калды деп чечип, иштеп турган туннелди кулаткан. Журнал сабы кайсы тарап экенин айтат, жана ал оңдоону тандайт.

Каалаган таймерге тийүүдөн мурун ошол сапты окуңуз.

Уламыш: жолдогу бир нерсе туннелди тосот

Эгер порт тосулган болсо, туташуу башында эле ишке ашпай, ошондой бойдон калмак. Кайталанган цикл башкаруу билдирүүлөрү агып жатканын, сессиялар түзүлүп жатканын жана сүйлөшүүнүн кийинки бөлүгүндө бир нерсенин тынымсыз бүтүп жатканын билдирет. Тоскоолдук унчукпастык жаратат, бул болсо ритм жаратат.

Ритм пайдалуу белги. Аны таймерлер жаратат; пакет жоготуу сейрек.

Таймерден мурун ажыроо себебин окуңуз

OpenVPN өз себебин атайт, жана ар бир аталыш башка субсистемага көрсөтөт. Session invalidated: KEEPALIVE_TIMEOUT бүтүп жаткан таймер, ошондуктан эки учтагы ping жана ping-restart маанилерин салыштырыңыз. AUTH_FAILED каттоо эсеби же сертификат абалы, жана таймерди өзгөртүү жардам бербейт. TLS катасы тараптар keepalive баскычына такыр жетпегенин билдирет.

Туташуу убактысын, ажыроо убактысын жана интервал секундга чейин туруктуу экенин жазып алыңыз. Ошол бир өлчөө конфигурацияланган графикти кокустан ажыратат.

Туруктуу интервал – таймер. Жылып жаткан интервал көбүрөөк жол көйгөйү же жылдырылган сессия.

Эч качан макулдашпаган эки keepalive таймери

Порталдан экспорттолгон профилдер кээде коомдук сервер үлгүсүнөн көчүрүлгөн keepalive же ping-restart саптарын али алып жүрөт. Шлюз өзүнүн өлүк өнөктөшүн аныктоосун жүргүзүп, өз күтүүлөрүн таңуулайт, жана эки график дал келиши милдеттүү эмес. Алар кайчылашса, кардар шлюз эч качан макул болбогон график боюнча кайра башталат.

Эки маани бир башкаруу эмес. ping кардардын канчалык тез-тез жаңыртуу жиберерин билдирет, ping-restart болсо туннелди кулатуудан мурун эч нерсе укпай канча күтөрүн билдирет. Кыска ping-restart орноткон профиль жана жай жооп берген шлюз ар бир тынч мезгилде кайра башталат, бул дал бир мүнөттүк циклдин формасы.

Кардар тарабындагы эң кичине өзгөртүү – профилдин жогорку деңгээлинде, ар бир киргизилген блоктон тышкары таймерлерди нейтралдаштыруу:

keepalive 0 0

Сактаңыз, профилди кайра жүктөңүз, кайра туташыңыз. Эс тутумда мурунтан бар сессия эски маанилерди сактайт, ошондуктан оңдоо кээде эч нерсе кылбагандай көрүнөт.

Сертификаттын аталышы бутуңуздун астынан жылышы мүмкүн

Azure сертификаты менен аутентификация кардардын шлюз бүгүн сунуш кылган аталышка ишенүүсүнө байланыштуу. Эскирээк жүктөөдөгү verify-x509-name сабы шлюзди кайра куруу же сертификатты жаңыртуу андан бери өзгөрткөн аталышты бекитип коюшу мүмкүн, жана дал келбестик ачык ката катары эмес, кайра туташуу цикли катары көрүнөт. Сапты жок кылуу байланышты калыбына келтирет, бул аны жакшы диагностика жана начар туруктуу оңдоо кылат, анткени текшерүүнү да алып салат. Туннель кармалгандан кийин сапты шлюз чындыгында сунуш кылган аталыш менен калыбына келтириңиз.

Шлюзди оңдоодон мурун ошол эле машинада кардардын экинчи муунун сынап көрүңүз. Бир кардар циклде болуп, экинчиси кармалып турса, профиль көйгөй эмес.

Эмнени өзгөртүү керек жана кандай тартипте

Андан кийин жылдырылган сессияны текшериңиз. Бир сертификатты бөлүшкөн эки түзмөк бири-бирин түртүп чыгарышы мүмкүн, жана натыйжа мезгилдүү көрүнөт, анткени эки тарап тең кайра туташууну улантат. Бирдей инсандыктын кайра-кайра пайда болгон чекиттен сайтка сессия жазууларын салыштырыңыз.

Андан кийин бир нече мүнөт тынымсыз трафик жүргүзүп, бош жолду сынаңыз. Трафик агып жатканда үзүлүштөр токтосо, маанилүү таймер OpenVPN-ге эмес, жолдогу NAT түзмөгүнө же жүктөө теңдештиргичине таандык.

Шлюз жөндөөлөрү ушул төрт сынактан кийин гана өзгөртүлүшү керек.