Зошто тунелот Azure OpenVPN паѓа приближно на секои шеесет секунди

Тунелот го завршува ракувањето, пренесува сообраќај околу една минута и потоа повторно се поврзува. Оваа низа го исклучува вообичаениот осомничен, бидејќи огнениот ѕид што го блокира портот би го запрел ракувањето, а не сесијата. Она што го имате е несогласување за живоста: едната страна одлучила дека другата замолчала и урнала работен тунел. Линијата во дневникот кажува која страна, и таа го избира решението.

Прочитајте ја таа линија пред да допрете каков било тајмер.

Мит: нешто на патеката го блокира тунелот

Ако портот беше блокиран, врската ќе пропаднеше на почетокот и ќе останеше пропадната. Циклусот што се повторува значи дека контролните пораки течат, сесиите се воспоставуваат и нешто подоцна во разговорот постојано истекува. Блокирањето создава тишина, а ова создава ритам.

Ритамот е корисниот траг. Тајмерите го создаваат; загубата на пакети ретко.

Прочитајте ја причината за исклучувањето пред тајмерот

OpenVPN ја именува својата причина, и секое име покажува на различен потсистем. Session invalidated: KEEPALIVE_TIMEOUT е тајмер што истекува, затоа споредете ги вредностите ping и ping-restart на двата краја. AUTH_FAILED се акредитиви или состојба на сертификат, и никаква промена на тајмерот нема да помогне. TLS грешка значи дека страните воопшто не стигнале до фазата keepalive.

Запишете го времето на поврзување, времето на исклучување и дали интервалот е стабилен до секунда. Тоа едно мерење го дели конфигурираниот распоред од случајноста.

Стабилен интервал е тајмер. Лизгавиот е поверојатно проблем на патеката или поместена сесија.

Два keepalive тајмери што никогаш не се согласиле

Профилите извезени од порталот понекогаш сѐ уште носат линии како keepalive или ping-restart копирани од шаблон на заеднички сервер. Портата води сопствено откривање на мртов партнер и наметнува сопствени очекувања, а двата распореди не мора да се совпаднат. Кога се разидуваат, клиентот се рестартира според распоред со кој портата никогаш не се согласила.

Двете вредности не се иста контрола. ping е колку често клиентот праќа ехо, а ping-restart е колку долго чека без ништо да слушне пред да го урне тунелот. Профил со краток ping-restart и порта што одговара бавно ќе се рестартираат во секој тивок период, што е точно формата на едноминутен циклус.

Најмалата промена на страната на клиентот е да се неутрализираат тајмерите на најгорното ниво на профилот, надвор од секој вграден блок:

keepalive 0 0

Зачувајте, вчитајте го профилот повторно, поврзете се повторно. Сесијата што веќе е во меморијата ги задржува старите вредности, затоа уредувањето понекогаш изгледа како да не направило ништо.

Името на сертификатот може да се помести под вашите нозе

Автентикацијата со сертификат на Azure зависи од тоа дали клиентот му верува на името што портата го претставува денес. Линијата verify-x509-name во постаро преземање може да закачи име што преизградба на портата или обновување на сертификат го промениле оттогаш, а несовпаѓањето се појавува како јамка за повторно поврзување, а не како јасна грешка. Бришењето на линијата ја враќа поврзаноста, што ја прави добра дијагностика и лош траен поправка, бидејќи ја отстранува и проверката. Кога тунелот ќе се задржи, вратете ја линијата со името што портата навистина го претставува.

Тестирајте втора генерација клиент на истиот компјутер пред да ја уредувате портата. Ако еден клиент врти во јамка, а другиот се држи, профилот не е проблемот.

Што да се смени и по кој редослед

Следно проверете за поместена сесија. Два уреда што делат еден сертификат можат да се истиснат меѓусебно, а резултатот изгледа периодично затоа што двете страни продолжуваат да се поврзуваат повторно. Споредете ги записите на сесиите од точка до локација за истиот идентитет што се појавува одново и одново.

Потоа тестирајте ја неактивната патека со пуштање непрекинат сообраќај неколку минути. Ако паѓањата престанат додека сообраќајот тече, важниот тајмер и припаѓа на NAT уред или балансер на оптоварување на патеката, а не на OpenVPN.

Поставките на портата треба да се менуваат само по тие четири теста.