Kāpēc Azure OpenVPN tunelis pārtrūkst aptuveni ik sešdesmit sekundes

Tunelis pabeidz rokas paspiešanu, aptuveni minūti pārvada datplūsmu un pēc tam atkal pieslēdzas. Šī secība izslēdz ierasto aizdomās turamo, jo ugunsmūris, kas bloķē portu, būtu apturējis rokas paspiešanu, nevis sesiju. Tas, kas jums ir, ir domstarpības par dzīvotspēju: viena puse nolēma, ka otra ir apklususi, un nogāza strādājošu tuneli. Žurnāla rinda pasaka, kura puse, un tā izvēlas labojumu.

Izlasiet šo rindu pirms jebkura taimera aizskaršanas.

Mīts: kaut kas ceļā bloķē tuneli

Ja ports būtu bloķēts, savienojums neizdotos jau sākumā un paliktu neizdevies. Atkārtots cikls nozīmē, ka kontroles ziņojumi plūst, sesijas veidojas un kaut kas vēlāk sarunā nemitīgi beidzas. Bloķēšana rada klusumu, un šis rada ritmu.

Ritms ir noderīgā norāde. Taimeri to rada; pakešu zudums reti.

Izlasiet atvienošanās iemeslu pirms taimera

OpenVPN nosauc savu iemeslu, un katrs nosaukums norāda uz citu apakšsistēmu. Session invalidated: KEEPALIVE_TIMEOUT ir beidzošs taimeris, tāpēc salīdziniet ping un ping-restart vērtības abos galos. AUTH_FAILED ir pieteikšanās dati vai sertifikāta stāvoklis, un nekādas taimera izmaiņas nepalīdzēs. TLS kļūda nozīmē, ka puses vispār nesasniedza keepalive posmu.

Pierakstiet pieslēgšanās laiku, atvienošanās laiku un to, vai intervāls ir stabils līdz sekundei. Šis viens mērījums atdala konfigurētu grafiku no nejaušības.

Stabils intervāls ir taimeris. Dreifējošs, visticamāk, ir ceļa problēma vai pārvietota sesija.

Divi keepalive taimeri, kas nekad nav vienojušies

Profili, kas eksportēti no portāla, dažkārt joprojām satur rindas, piemēram, keepalive vai ping-restart, kas nokopētas no kopienas servera veidnes. Vārteja veic savu mirušā partnera noteikšanu un uzspiež savas cerības, un abiem grafikiem nav jāsakrīt. Kad tie atšķiras, klients restartējas pēc grafika, kam vārteja nekad nav piekritusi.

Abas vērtības nav viena un tā pati kontrole. ping ir tas, cik bieži klients sūta atbalsi, un ping-restart ir tas, cik ilgi tas gaida neko nedzirdējis, pirms nogāž tuneli. Profils ar īsu ping-restart un vārteja, kas atbild lēni, restartēsies katrā klusajā periodā, un tas ir tieši vienas minūtes cikla forma.

Mazākā klienta puses izmaiņa ir neitralizēt taimerus profila augšējā līmenī, ārpus katra iekļautā bloka:

keepalive 0 0

Saglabājiet, pārlādējiet profilu, pievienojieties no jauna. Sesija, kas jau ir atmiņā, saglabā vecās vērtības, tāpēc labojums dažkārt izskatās tā, it kā nekas nebūtu izdarīts.

Sertifikāta nosaukums var paslīdēt zem jūsu kājām

Azure sertifikāta autentifikācija ir atkarīga no tā, vai klients uzticas nosaukumam, ko vārteja uzrāda šodien. verify-x509-name rinda vecākā lejupielādē var piespraust nosaukumu, ko vārtejas pārbūve vai sertifikāta atjaunošana kopš tā laika ir mainījusi, un neatbilstība izpaužas kā atkārtotas savienošanas cilpa, nevis kā skaidra kļūda. Rindas dzēšana atjauno savienojamību, kas to padara par labu diagnostiku un sliktu pastāvīgu labojumu, jo tā noņem arī pārbaudi. Kad tunelis noturas, atjaunojiet rindu ar nosaukumu, ko vārteja patiešām uzrāda.

Pārbaudiet otru klienta paaudzi tajā pašā mašīnā pirms vārtejas rediģēšanas. Ja viens klients cilpo un otrs noturas, problēma nav profilā.

Ko mainīt un kādā secībā

Tālāk pārbaudiet pārvietotu sesiju. Divas ierīces, kas dala vienu sertifikātu, var viena otru izstumt, un rezultāts izskatās periodisks, jo abas puses turpina atkārtoti pievienoties. Salīdziniet punkta-uz-vietu sesiju ierakstus tai pašai identitātei, kas parādās atkal un atkal.

Pēc tam pārbaudiet dīkstāves ceļu, palaižot nepārtrauktu datplūsmu vairākas minūtes. Ja pārrāvumi apstājas, kamēr datplūsma plūst, svarīgais taimeris pieder NAT ierīcei vai slodzes balansētājam ceļā, nevis OpenVPN.

Vārtejas iestatījumus vajadzētu mainīt tikai pēc šiem četriem testiem.