VPN atsijungia tuo pačiu intervalu? Sulygiuokite laikmatį
Nutrūkimas fiksuotu intervalu yra pirštų atspaudas. Prieš ką nors keisdami, palyginkite tunelio raktų atnaujinimą, NAT neveiklumo laikmatį, DHCP nuomą ir paskyros limitą.
Tunelis, kuris miršta kas penkiolika minučių arba kas valandą tą pačią minutę, sako, kad baigėsi koks nors laikmatis, o ne kad tinklas nestabilus. Naudingas žingsnis yra užrašyti intervalą ir palyginti jį su keturiais laikmačiais, kurie sukuria šį modelį. Pakeitus laiko limitus prieš tą palyginimą, gedimas dažniausiai perkeliamas jo nepaaiškinant, todėl kitas atvejis tampa sunkiau įskaitomas nei pirmasis. Matavimas užima dešimt minučių ir pakeičia savaitę spėlionių.
Paverskite intervalą skaičiumi
Surinkite penkis ar šešis atvejus ir apskaičiuokite tarpą tarp jų, o ne tarpą nuo dienos pradžios. Nutrūkimas 09:12, 10:12 ir 11:12 yra valandos riba; nutrūkimas 09:12, 09:27 ir 09:42 yra penkiolika minučių nuo paskutinio sėkmingo prisijungimo. Rezultatą suapvalinkite iki tikėtiniausio laikmačio, o ne iki artimiausios minutės.
Užrašykite du momentus kiekvienam įvykiui: kada eismas paskutinį kartą judėjo ir kada klientas pranešė apie atsijungimą. Jie skiriasi, kai tunelis miršta tyliai ir klientas tai pastebi tik kitą kartą siųsdamas, ir būtent šis skirtumas atskiria neveiklumo limitą nuo kieto gedimo. Vėlai pastebintis klientas išpučia matuojamą neveiklumo langą.
Atkreipkite dėmesį, ar prisijungimas iš naujo automatinis. Klientas, kuris vėl prisijungia per kelias sekundes, palieka intervalą matomą žurnale ir už naudotojo ataskaitos ribų, todėl šie gedimai dažnai aprašomi kaip atsitiktiniai, o ne periodiniai. Jis taip pat paslepia įvykį nuo žmogaus, naudojančio nešiojamąjį kompiuterį.
Keturi laikmačiai, kurie atrodo vienodai
Beveik kiekvienas pasikartojantis tunelio kritimas kyla iš vieno iš šių: protokolo raktų atnaujinimo, neveiklaus susiejimo pasibaigimo, DHCP ar sąsajos įvykio arba paskyros politikos. Jie skiriasi tuo, ar eismas vyko, ir tuo, ką žurnalas sako ties riba.
Toliau pateiktus požymius verta išmokti, nes jie leidžia atmesti tris paaiškinimus pagal vieną žurnalo eilutę:
| Timer | Typical trigger | What the log shows at the boundary |
|---|---|---|
| Protocol rekey | Traffic present, fixed interval | Negotiation lines, sometimes a failure |
| NAT or firewall idle | No traffic for minutes | Silence, then a timeout on send |
| DHCP lease or link change | Half the lease, or a radio event | Address or interface churn |
| Account session limit | Wall-clock hours since login | Clean disconnect, server-side reason |
Pirmoji eilutė yra saugumo mechanizmas, atliekantis savo darbą, o antroji – tarpinis įrenginys, pamirštantis būseną. Jų painiojimas veda arba prie raktų atnaujinimo susilpninimo, arba prie ugniasienės taisyklės, kuri niekada nebuvo susijusi, persekiojimo.
Užimta prieš neveiklu pasako, kuri pusė
Atlikite kontroliuojamą palyginimą su nuolatiniu eismu, pavyzdžiui, ilgu srautu į prieglobos kompiuterį tunelio viduje, ir stebėkite, ar intervalas keičiasi. Jei nutrūkimas išnyksta duomenims tekant, laikmatis pagrįstas neveiklumu.
Jei jis atlaiko nuolatinį eismą, priežastis priklauso raktų atnaujinimui, nuomai ar politikai. Šis vienas testas pašalina pusę kandidatų per maždaug valandą stebėjimo, ir jis nekainuoja nieko, išskyrus dėmesį.
Testo metu palikite prieigos tinklą nepakeistą. Perjungimas tarp Wi-Fi ir Ethernet palyginimo viduryje įveda būtent tą sąsajos įvykį, kurį bandote atskirti nuo laikmačio.
Sulygiuokite žurnalo eilutę su riba
Skaitykite kliento ir serverio žurnalus aplink užrašytą momentą, o ne visą failą. Raktų atnaujinimas rodo derybas; neveiklumo pasibaigimas nieko nerodo iki kito paketo; nuomos pasikeitimas rodo adreso darbą; politikos limitas paprastai rodo švarų administracinį atsijungimą.
Šios komandos ištraukia atitinkamą langą iš kiekvieno šaltinio:
grep -iE "reneg|TLS Error|Inactivity" /var/log/openvpn.log | tail -20
journalctl -u NetworkManager --since "-90 min" | grep -iE "dhcp|link"
wg showJei trys šaltiniai sutaria dėl laiko žymos, žinote laikmačio savininką. Jei kažkas yra tik kliento žurnale, serveris tikriausiai nėra tas, kuris baigia sesiją.
Taisykite etapą, o ne piktogramą
Kiekvienas savininkas turi vieną palaikomą taisymą. Raktų atnaujinimo gedimui reikia suderinamų pasiūlymų abiejuose galuose. Neveiklumo pasibaigimui reikia gyvybės signalo arba trumpesnio neveiklumo lūkesčio, kiek leidžia kelias. Nuomos įvykiui reikia sutvarkyti sąsajos arba maitinimo nustatymus. Paskyros limitas yra politikos sprendimas, o ne klaida.
Raktų atnaujinimo ar autentifikavimo išjungimas, kad piktograma liktų žalia, iškeičia matomą nutrūkimą į nematomą silpnybę ir palieka jus nebegalinčius pasakyti, kada tunelis paskutinį kartą derėjosi dėl naujų raktų. Po to dar kartą patikrinkite pradinę trukmę ir išsaugokite laiko žymas, kad kitą įvykį būtų galima palyginti su šiuo, o ne pradėti iš naujo.