Kodėl Azure OpenVPN tunelis nutrūksta maždaug kas šešiasdešimt sekundžių

Tunelis baigia rankos paspaudimą, apie minutę perduoda srautą ir tada vėl prisijungia. Ši seka atmeta įprastą įtariamąjį, nes ugniasienė, blokuojanti prievadą, būtų sustabdžiusi rankos paspaudimą, o ne sesiją. Tai, ką turite, yra gyvybingumo nesutarimas: viena pusė nusprendė, kad kita nutilo, ir nugriovė veikiantį tunelį. Žurnalo eilutė pasako, kuri pusė, ir ji nulemia sprendimą.

Perskaitykite tą eilutę prieš liesdami bet kurį laikmatį.

Mitas: kažkas kelyje blokuoja tunelį

Jei prievadas būtų užblokuotas, ryšys žlugtų pradžioje ir liktų žlugęs. Pasikartojantis ciklas reiškia, kad valdymo pranešimai teka, sesijos kuriamos, o kažkas vėliau pokalbyje nuolat baigiasi. Blokavimas sukuria tylą, o tai sukuria ritmą.

Ritmas yra naudinga užuomina. Laikmačiai jį sukuria; paketų nuostoliai retai.

Perskaitykite atsijungimo priežastį prieš laikmatį

OpenVPN įvardija savo priežastį, ir kiekvienas pavadinimas nurodo kitą posistemį. Session invalidated: KEEPALIVE_TIMEOUT yra baigiantis laikmatis, todėl palyginkite ping ir ping-restart reikšmes abiejuose galuose. AUTH_FAILED yra prisijungimo duomenys arba sertifikato būsena, ir joks laikmačio pakeitimas nepadės. TLS klaida reiškia, kad šalys apskritai nepasiekė keepalive etapo.

Užsirašykite prisijungimo laiką, atsijungimo laiką ir ar intervalas stabilus iki sekundės. Šis vienas matavimas atskiria sukonfigūruotą grafiką nuo atsitiktinumo.

Stabilus intervalas yra laikmatis. Slenkantis greičiausiai yra kelio problema arba perkelta sesija.

Du keepalive laikmačiai, kurie niekada nesusitarė

Profiliai, eksportuoti iš portalo, kartais vis dar turi eilučių, tokių kaip keepalive ar ping-restart, nukopijuotų iš bendruomenės serverio šablono. Šliuzas vykdo savo negyvo partnerio aptikimą ir primeta savo lūkesčius, o du grafikai nebūtinai turi sutapti. Kai jie nesutampa, klientas paleidžiamas iš naujo pagal grafiką, kuriam šliuzas niekada nebuvo pritaręs.

Dvi reikšmės nėra ta pati kontrolė. ping yra tai, kaip dažnai klientas siunčia atgarsį, o ping-restart yra tai, kiek jis laukia nieko negirdėdamas prieš nugriausdamas tunelį. Profilis su trumpu ping-restart ir šliuzas, kuris atsako lėtai, bus paleidžiami iš naujo kiekvienu tyliu periodu, o tai yra būtent vienos minutės ciklo forma.

Mažiausias kliento pusės pakeitimas yra neutralizuoti laikmačius viršutiniame profilio lygyje, už kiekvieno įterpto bloko:

keepalive 0 0

Išsaugokite, iš naujo įkelkite profilį, prisijunkite iš naujo. Sesija, kuri jau yra atmintyje, išlaiko senas reikšmes, todėl pakeitimas kartais atrodo tarsi nieko nepadarė.

Sertifikato pavadinimas gali pasislinkti po jūsų kojomis

Azure sertifikato autentifikavimas priklauso nuo to, ar klientas pasitiki pavadinimu, kurį šliuzas pateikia šiandien. verify-x509-name eilutė senesniame atsisiuntime gali prisegti pavadinimą, kurį šliuzo perstatymas ar sertifikato atnaujinimas nuo to laiko pakeitė, o neatitikimas pasireiškia kaip pakartotinio prisijungimo kilpa, o ne kaip aiški klaida. Eilutės ištrynimas atkuria ryšį, todėl ji yra gera diagnostika ir blogas nuolatinis sprendimas, nes taip pat pašalina tikrinimą. Kai tunelis laikosi, atkurkite eilutę su pavadinimu, kurį šliuzas iš tikrųjų pateikia.

Išbandykite antrą kliento kartą tame pačiame kompiuteryje prieš redaguodami šliuzą. Jei vienas klientas cikliškai jungiasi, o kitas laikosi, profilį problemos nėra.

Ką keisti ir kokia tvarka

Toliau patikrinkite perkeltą sesiją. Du įrenginiai, bendrai naudojantys vieną sertifikatą, gali išstumti vienas kitą, o rezultatas atrodo periodiškas, nes abi pusės toliau jungiasi iš naujo. Palyginkite taško-į-vietą sesijų įrašus tai pačiai tapatybei, kuri pasirodo vėl ir vėl.

Tada išbandykite neveikimo kelią paleisdami nepertraukiamą srautą kelioms minutėms. Jei nutrūkimai liaujasi srautui tekant, svarbus laikmatis priklauso NAT įrenginiui arba apkrovos balansuotojui kelyje, o ne OpenVPN.

Šliuzo nustatymus derėtų keisti tik po šių keturių bandymų.