UDP-VPN hält bei Inaktivitéit un: d'Firewall huet Äre Floss vergiess

D'VPN verbënnt, schafft eng Zäitchen a hält dann op Verkéier duerchzeloossen, wärend de Client nach eng Sëtzung weist. Nei verbannen hëlleft, duerch dat et wéi e Client-Fehler ausgesäit. Meeschtens ass et eng Firewall oder en NAT-Apparat, deen eng inaktiv UDP-Zouuerdnung ewechgeheit huet an net weess, datt den Tunnel nach existéiert.

D'Symptom ass konsequent genuch fir ze diagnostizéieren: et erschéngt no Inaktivitéit, net ënner Laascht.

Wéi en Halt duerch Inaktivitéit ausgesäit

Moosst en amplaz en ze beschreiwen. Schreift op wéi laang den Tunnel stëll läit ier de Verkéier stoppt, ob en neie Pak no baussen en erëm oplieft an ob d'Client-Interface nach seng Adress hält. Wann eng nei Demande vum Client funktionéiert, awer eng Äntwert op e bestuende Floss net, ass d'Zouuerdnung verdächteg. Wann näischt funktionéiert bis Dir nei verbënnt, ass de Sëtzungszoustand vum Client och fort.

Beides hänkt mat Inaktivitéit zesummen, an se brauche verschidde Korrekturen.

Schreift d'Zäite op ier Dir eppes ännert. E Rapprt datt et no onge zéng inaktive Minute stoppt ass testbar, wärend e Rapprt datt et zoufälleg fält et net ass. Dee Ënnerscheed entscheet ob Dir engem Timer oder enger Ännerung vum Routing nojot.

Fannt den Apparat deen vergiess huet

Verschidden Apparater kënnen Zoustand fir dee selwechte Floss halen: de lokale Router, en Iwwersetzer weider uewen, eng Cloud-Grenz an d'Firewall vum Host. Jiddereen huet säin eegenen Timer, an de kierzte gewënnt. Eng Ënnerbriechung vu fënnef Minute bedeit meeschtens datt en Apparat vill ënner deenen aneren agestallt ass.

Gitt net dovun aus datt den dokumentéierte Standard de Timeout op Ärem Wee ass. Et ass den Standard vun engem Apparat.

• Heemrouter: dacks Minutten, heiansdo vill manner.
• Cloud-NAT oder Lastverdeeler: kuckt den dokumentéierten inaktiven Timeout speziell fir UDP no.
• Firewall vum Host: netfilter-Suivi-Timere gëllen pro Floss.

Kuckt d'Timeren um tatsächleche Wee no

Op Linux si d'netfilter-Suivi-Timeren sichtbar an astellbar: sysctl net.netfilter.nf_conntrack_udp_timeout an net.netfilter.nf_conntrack_udp_timeout_stream. Den zweeten gëllt soubal Verkéier a béid Richtunge gesi gouf, dofir kann en etabléierten Tunnel engem bloen Test iwwerliewen.

RFC 4787 beschreift d'UDP-NAT-Verhalen an déi recommandéiert Minimumen. Dat ass d'Referenz déi Dir zitéiere wann en Hiersteller-Standard ongewéinlech kuerz ausgesäit.

Keepalive an nei verbannen sinn ënnerschiddlech Geschier

En Keepalive hält eng Zouuerdnung lieweg; nei verbannen baut eng doudeg Sëtzung nees op. Se léisen ënnerschiddlech Feeler a sinn keng austauschbar Vitess-Astellungen. Dem WireGuard seng PersistentKeepalive schéckt a festem Intervall e Pak fir d'NAT-Verbindung oppen ze halen. Dem OpenVPN seng keepalive Optioun mécht déiselwecht Aarbecht op seng Manéier. Keng vun deenen zwee hëlleft wann den Apparat an der Mëtt de Floss schonn vergiess huet an a béid Richtunge fält.

Ganz heefeg Teste füügen Aarbecht dobäi, ouni déi falsch Grenz ze flécken.

Iwwerpréift mat enger neier Demande, net mat engem Säiten-Neelueden

Nodeems Dir en Timer geännert oder e Keepalive bäigefüügt hutt, widderhuelt den inaktive Szenario genee wéi virdrun. Maacht dann eng wierklech nei Demande aus der ofgedeckter Applikatioun. En Browser-Tab deen schonns gelueden war kann aus dem Cache rendere an seet Iech näischt.

Wann den Halt weidergeet, beweegt Iech een Hop no baussen a kuckt d'Zoustandstabell vun deem Apparat no.