SSH fällt op der VPN all Minutt eraus? Et ass net de Keepalive

Eng Sessioun, déi an engem widderhuelende Intervall stierft, verléiert meeschtens Firewall-Zoustand, net Keepalives. Verfollegt béid Richtungen, ier Dir MTU oder Timer unhält.

SSH verbënnt, funktionnéiert ongeféier eng Minutt an da fréiert se all Kéier bei ongeféier deem selwechten Intervall. Déi üblech Erklärung ass en Idle-Timeout, dofir maachen d'Leit d'MTU méi kleng a setzen Client-Keepalives. De WireGuard-Link, un deem ech geschafft hunn, war dat alles schonn duerchgaange: eng méi kleng Tunnel-MTU, Client-Alive-Astellungen, eng konfiguréiert Tunnel-Keepalive. D'Ofbréch sinn onverännert weidergaangen. D'Ursaach war eng asymmetresch LAN-Route, an d'Muster ass et wäert ze erkennen, well et all timerbaséierte Fix schléit.

E Keepalive beweist, datt Ären Host nach ëmmer bereet ass ze schécken. Et kann en Apparat mat Zoustand awer net eng Äntwert gesinn, déi et ni duerchquiert.

De Mythos: Keepalives fixe en duerchbrochene Stëllstand

SSH-Keepalives existéieren fir eng eenzeg Aufgab: ze verhënneren, datt eppes, wat Stëllt zielt, eng inaktiv Sessioun ewechhëlt. Dat maache se gutt. Se léisen awer keen Apparat mat Zoustand, dee säin éischte Pak an eng Richtung gesinn huet an duerno ni d'Äntwert, well näischt, wat de Client schéckt, ännert, wat fir eng Interface d'Äntwert benotzt.

Eng MTU-Ännerung ass deen anere beléifte Fix, an en huet dee selwechte Fehlermodus. D'MTU ze reduzéieren hëlleft bei Fragmentéierung a Path-MTU-Problemer, an et mécht näischt fir eng Route. Wann Är Timer an d'MTU schonn raisonnabel sinn an den Ofbroch nach ëmmer an engem widderhuelende Intervall kënnt, da seet Iech den Intervall eppes iwwer en Timeout fir eng Plaz, net iwwer d'Pakgréisst. Schreift den Intervall op a vergläicht en mat den Zoustands-Timeouts op all Apparat am Wee.

D'Zeeche ass d'Regelméissegkeet an eng Sessioun, déi bannen deem Intervall notzbar bleift. Idle-Timeouts schloen zou, wann näischt geschitt; dësen hei schléit zou, während Dir tippt.

Wat deen extra Gateway tatsächlech mécht

Setzt de Laptop an de VPN-Gateway op déiselwecht LAN, mat enger separater LAN-Firewall als Standard-Gateway. De Laptop schéckt de VPN-Verkehr un d'Firewall, d'Firewall leet en weider un de Gateway, an d'Äntwerten vum Gateway ginn direkt iwwer d'LAN zréck op de Laptop. Dee zweete Been passéiert ni d'Firewall, dofir hält seng Zoustandstabell eng hallef Verbindung.

D'Adressen hei drënner spigelen déi Opstellung:

Laptop:             192.168.50.20
LAN firewall:       192.168.50.1
WireGuard gateway:  192.168.50.10
Remote VPN subnet:  10.77.0.0/24

Redirectiounen an Zoustandsbehandlung maachen dann aus engem funktionéierenden Handshake eng Verbindung, déi méi spéit stierft an net direkt. D'Verzögerung ass de Zoustandsentrée, deen altert, oder eng méi streng Kontroll, déi feelt, dofir gesäit den Intervall sou mechanesch aus.

Näischt vun dësem erschéngt an der Client-Konfiguratioun, dofir fänkt d'Sich no dësem meeschtens an der falscher Datei un.

Wielt ee bewosste Wee

Fir d'Opstellung uewen eliminéiert d'Route vum Ofwäitsch-Subnetz direkt op de VPN-Gateway déi hallef Verbindung:

sudo ip route add 10.77.0.0/24 via 192.168.50.10
ip route get 10.77.0.42

Dat sinn Beispilladressen. Den nächsten Hop muss op Ärer LAN erreechbar sinn, de Prefix muss dat geplangt Ofwäitsch-Netzwierk sinn, an déi zweet Kommando weist Iech d'Resultat, ier Dir drop verloosst. Wann de Gateway net op Ärem Subnetz ass, ass dës Route net dee Fix, deen Dir wëllt.

Wann d'Firewall de Verkehr tëscht deene Systemer iwwerwaache soll, ass d'Route ronderëm de falschen Design. Loosst amplaz béid Richtungen d'Grenz iwwerquieren a konfiguréiert d'Routen op all Säit, sou datt de Réckwee passt. D'Zil ass ee bewosste Wee, net manner Zoustandskontroll.

Dem Netgate seng Notizen iwwer asymmetresch Routing beschreiwen déiselwecht Asymmetrie op Interface-Niveau an d'Zoustandsproblemer, déi se verursaacht, also liest se, ier Dir d'Zoustandsbehandlung global luesmécht. Zäitgesteiert Desconnecten, déi dësem Fall gläichen, sinn eleng keen Beweis. Behandelt den Artikel als Beschreiwung vun engem Fehlermodus a beweist duerno, datt Ären eegene Netzwierk dozou passt, ier Dir d'global Zoustandspolitik ännert.

Test et vun béiden Enner

Liest d'Route vum Laptop zum Zil an d'Route vum Zil zréck zum Laptop; dat sinn zwou getrennte Entscheidungen a wahrscheinlech ass just eng dovun falsch. E Ping, deen vum Gateway selwer geléngt, kann de Problem komplett verstoppen, well en op där Maschinn entsteet, där hire Wee schonn korrekt ass. Dir braucht béid Richtungen, sou wéi se déi zwee Enner vun der tatsächlecher Sessioun gesinn.

Nom Fix, maacht SSH erëm op an hält d'Sessioun vill méi laang op wéi den Intervall, dee fréier feelt. Da maacht d'Route permanent an der approuvéierter Netzwierkkonfiguratioun, well eng eemoleg Kommando keen Neistartplang ass an de Problem kënnt beim nächsten Neistart mat engem neie Rätsel zréck.

Wéini Asymmetrie gutt ass

Asymmetresch Routing ass a ville Netzwierker normal a per Definitioun net futti. Et gëtt e Problem, wann Zoustandsverfolgung, Iwwersetzung oder Politik drop ugewise sinn, e Wee ze gesinn, dee se net gesinn, an all dat huet en anert Mëttel. Kontrolléiert, wat den Apparat an der Mëtt tatsächlech erfuerdert, ier Dir ronderëm nei entwéckelt.

Déi dauerhaft Äntwert nennt déi zwee Weeër, den Apparat, deen allebéid gesi muss, an d'Route, déi dat méiglech mécht. Wann Dir den Apparat net nenne kënnt, hutt Dir d'Ursaach nach net fonnt.

Ähnlech Artikelen