Kāpēc jūsu VPN atkrīt katru reizi, kad mainās atslēgas

Savienojums strādā stundu un tad mirst, un klients neziņo neko noderīgāku par disconnected. Tieši šis periods ir pavediens, jo atjaunināšanas apmaiņā kaut kas atšķiras no sākotnējā rokasspiediena. Taimeris tikai izlemj, kad ar to saskarsieties. Saglabājiet tās apmaiņas ziņojumus, nevis gala etiķeti.

Lasiet posmu, nevis etiķeti

IKEv2 gadījumā IKE asociācija un CHILD asociācija tiek atjauninātas pēc atsevišķiem grafikiem. Priekšlikums, kas bija pieņemams pirmajām sarunām, nav automātiski pieņemams otrajām. Viena var pabeigties, kamēr otra tiek noraidīta, kas rada uz pusi eksistējošu tuneli. Ierakstiet apmaiņu ar rīku, kam tā pieder, nevis ar klienta žurnāla rindu:

swanctl --list-sas
swanctl --log --level 2
ip xfrm state list

OpenVPN gadījumā līdzvērtīgais notikums ir atkārtotas sarunas, ko vada versija un izvietošanas iestatījumi. Tā autentifikācijas uzvedībai ir savi kļūmes režīmi. Svarīgais ziņojums nosauc neizdevušos posmu, un jums tas jāpieraksta burtiski, nevis jāpārfrāzē biļetē.

Pierakstiet arī laika zīmes. Atkrīšana fiksētā intervālā pēc pēdējām veiksmīgajām sarunām ir pavisam cits atradums nekā tā, kas nāk nejauši lietošanas laikā, un intervāls bieži ir vienīgais pierādījums, kas paliek.

Salīdziniet priekšlikumu, kas cieš neveiksmi

Noraidīts priekšlikums rada skaidru ziņojumu atbildētājā. Parastais iemesls ir atšķirība starp abiem galiem algoritmā, atslēgas garumā, grupā vai darbības laikā. Sākotnējās CHILD sarunas varēja izdoties tāpēc, ka tās uzsāka otra puse, kas nozīmē, ka tika izmantots otras puses priekšlikumu saraksts. Apskatiet abus galus pirms kaut ko mainīt.

Darbības laika neatbilstības ir pelnījušas īpašu uzmanību, jo vērtība, kas vienā galā izskatījās dāsna, var likt otram galam sākt atjaunināšanu, ko tas nespēj pabeigt. Atslēgu maiņas uzvedības dokumentācija apraksta, kā tiek ierosināta asociācijas atjaunināšana un kā abi gali var atšķirties laika gaidās. Salīdziniet, ko katrs gals apgalvo, ka atbalsta, nevis ko ierosina konfigurācijas fails.

Vecs profils vai pakalpojumu sniedzēja veidne var piespraust priekšlikumu, ko pašreizējā versija vairs nepiedāvā. Neatbilstība parādās tikai tad, kad tiek uzspiestas jaunas sarunas.

Atdaliet akreditācijas datu problēmu no nesasniedzama partnera

Atjaunināšana, kas cieš neveiksmi autentifikācijā, klientā izskatās līdzīgi un serverī pilnīgi citādi. Ja akreditācijas dati atkārtotajās sarunās tiek pārbaudīti no jauna, beidzies sertifikāts, atsaukts konts vai mainīta parole radīs atkrīšanu tieši atjaunināšanas intervālā, kamēr visi iepriekšējie savienojumi izdevās. Nesasniedzams partneris ir trešā iespēja, un tas nemaz nerada noraidījumu: paketes iziet un nekas neatbild. Šis gadījums parasti seko tīkla izmaiņām, nevis taimerim, tāpēc pārbaudiet, vai kļūme nāk pēc viesabonēšanas, dīkstāves perioda vai maršruta maiņas.

Atšķiriet trīs pēc tā, ko ierakstījis tālais gals. Noraidījums ar iemeslu, autentifikācijas kļūme un klusums ir trīs dažādi labojumi. Klienta pārstartēšana tos sapludina vienā nederīgā novērojumā.

Pārbaudiet sertifikāta datumus un konta stāvokli pirms vainot tīklu. Abi ir lēti pārbaudāmi un abi ir neredzami paša klienta ziņojumā.

Uzspiediet vienu atjaunināšanu un izlasiet rezultātu

Uzspiediet vienu atjaunināšanu ar operatora atbalstīto metodi, nevis gaidiet stundu nākamo. Saglabājiet nepieciešamo kļūmes politiku neskartu, kamēr to darāt. Pārbaudes izslēgšana vai darbības laiku izstiepšana līdz dienai liek simptomam pazust no jūsu žurnāliem, neko neizlabojot. Tas arī atstāj garāku pārtraukumu nākamajam cilvēkam.

Kad labojums ir vietā, pārbaudiet atjaunināto tuneli un pēc tam izsūtiet jaunu pieprasījumu no lietotnes. Lietotnes sesijai, kas bija dzīva, kad mainījās asociācija, var būt vajadzīga sava atkopšanās, pat ja tunelis atkal ir vesels. Lietotāji to ziņos kā VPN, kas joprojām ir salauzts.

Pierakstiet laidiena versijas, sarunātos taimerus un posmu, kas cieta neveiksmi. Nākamo atkārtošanos tad varēs salīdzināt ar šo, nevis atkal aprakstīt no atmiņas.