VPN atslēdzas ar tādu pašu intervālu? Saskaņojiet taimeri
Pārtraukums fiksētā intervālā ir pirkstu nospiedums. Pirms kaut ko mainīt, salīdziniet tuneļa atslēgu atjaunošanu, NAT dīkstāves taimeri, DHCP nomu un konta limitu.
Tunelis, kas mirst ik pēc piecpadsmit minūtēm vai katru stundu tajā pašā minūtē, jums saka, ka kāds taimeris ir beidzies, nevis ka tīkls ir nestabils. Noderīgais solis ir pierakstīt intervālu un salīdzināt to ar četriem taimeriem, kas rada šo modeli. Laika ierobežojumu maiņa pirms šī salīdzinājuma parasti pārvieto kļūmi, to neizskaidrojot, kas padara nākamo gadījumu grūtāk lasāmu nekā pirmo. Mērījums aizņem desmit minūtes un aizstāj nedēļu minējumu.
Pārvērtiet intervālu skaitlī
Savāciet piecus vai sešus gadījumus un aprēķiniet starpību starp tiem, nevis starpību no dienas sākuma. Pārtraukums 09:12, 10:12 un 11:12 ir stundas robeža; pārtraukums 09:12, 09:27 un 09:42 ir piecpadsmit minūtes kopš pēdējā veiksmīgā savienojuma. Noapaļojiet rezultātu līdz ticamākajam taimerim, nevis līdz tuvākajai minūtei.
Pierakstiet divus momentus katram notikumam: kad trafiks pēdējo reizi kustējās un kad klients ziņoja par atslēgšanos. Tie atšķiras, kad tunelis mirst klusi un klients to pamana tikai nākamajā sūtīšanā, un tieši šī atšķirība atdala dīkstāves taimautu no cietas kļūmes. Klients, kas pamana vēlu, uzpūš mērīto dīkstāves logu.
Ievērojiet, vai atkārtotā savienošana ir automātiska. Klients, kas atkal pievienojas dažu sekunžu laikā, saglabā intervālu redzamu žurnālā un ārpus lietotāja ziņojuma, tāpēc šīs kļūmes bieži raksturo kā gadījuma rakstura, nevis periodiskas. Tas arī slēpj notikumu no cilvēka, kurš lieto klēpjdatoru.
Četri taimeri, kas izskatās vienādi
Gandrīz katrs atkārtotais tuneļa kritiens nāk no viena no šiem: protokola atslēgu atjaunošanas, dīkstāves kartējuma izbeigšanās, DHCP vai saskarnes notikuma vai konta politikas. Tie atšķiras ar to, vai trafiks plūda, un ar to, ko žurnāls saka uz robežas.
Tālāk minētās pazīmes ir vērts iemācīties, jo tās ļauj no vienas žurnāla rindas noraidīt trīs skaidrojumus:
| Timer | Typical trigger | What the log shows at the boundary |
|---|---|---|
| Protocol rekey | Traffic present, fixed interval | Negotiation lines, sometimes a failure |
| NAT or firewall idle | No traffic for minutes | Silence, then a timeout on send |
| DHCP lease or link change | Half the lease, or a radio event | Address or interface churn |
| Account session limit | Wall-clock hours since login | Clean disconnect, server-side reason |
Pirmā rinda ir drošības mehānisms, kas dara savu darbu, bet otrā ir starpierīce, kas aizmirst stāvokli. To sajaukšana noved pie atslēgu atjaunošanas vājināšanas vai ugunsmūra noteikuma, kas nekad nav bijis iesaistīts, vajāšanas.
Aizņemts pret dīkstāvi pasaka, kura puse
Veiciet kontrolētu salīdzinājumu ar nepārtrauktu trafiku, piemēram, garu plūsmu uz resursdatoru tuneļa iekšpusē, un vērojiet, vai intervāls mainās. Ja pārtraukums pazūd, kamēr dati plūst, taimeris ir balstīts uz dīkstāvi.
Ja tas iztur nepārtrauktu trafiku, cēlonis pieder atslēgu atjaunošanai, nomai vai politikai. Šis viens tests aptuveni stundas novērojumā noņem pusi kandidātu, un tas neizmaksā neko, izņemot uzmanību.
Testa laikā atstājiet piekļuves tīklu nemainītu. Pārslēgšanās starp Wi-Fi un Ethernet salīdzinājuma vidū ievieš tieši to saskarnes notikumu, ko jūs mēģināt atšķirt no taimera.
Saskaņojiet žurnāla rindu ar robežu
Lasiet klienta un servera žurnālus ap pierakstīto momentu, nevis visu failu. Atslēgu atjaunošana parāda sarunas; dīkstāves izbeigšanās neparāda neko līdz nākamajai paketei; nomaiņas maiņa parāda adreses darbu; politikas limits parasti parāda tīru administratīvu atvienošanu.
Šīs komandas izvelk attiecīgo logu no katra avota:
grep -iE "reneg|TLS Error|Inactivity" /var/log/openvpn.log | tail -20
journalctl -u NetworkManager --since "-90 min" | grep -iE "dhcp|link"
wg showJa trīs avoti vienojas par laika zīmogu, jūs zināt taimera īpašnieku. Ja kaut kas ir tikai klienta žurnālā, serveris, iespējams, nav tas, kas beidz sesiju.
Labojiet posmu, nevis ikonu
Katram īpašniekam ir viens atbalstīts labojums. Atslēgu atjaunošanas kļūmei nepieciešami saderīgi priekšlikumi abos galos. Dīkstāves izbeigšanās prasa dzīvības signālu vai īsāku dīkstāves gaidīšanu ceļa atļautajās robežās. Nomas notikumam jāsakārto saskarnes vai barošanas iestatījumi. Konta limits ir politikas lēmums, nevis kļūda.
Atslēgu atjaunošanas vai autentifikācijas izslēgšana, lai ikona paliktu zaļa, apmaina redzamu pārtraukumu pret neredzamu vājumu un atstāj jūs bez iespējas pateikt, kad tunelis pēdējo reizi vienojās par jaunām atslēgām. Pēc tam vēlreiz pārbaudiet sākotnējo ilgumu un saglabājiet laika zīmogus, lai nākamo notikumu varētu salīdzināt ar šo, nevis sākt no jauna.