Зошто вашиот VPN паѓа секој пат кога се ротираат клучевите

Врската работи еден час и потоа умира, а клиентот не пријавува ништо покорисно од disconnected. Токму тој период е трагата, зашто нешто во размената за обновување се разликува од почетното ракување. Тајмерот само одлучува кога ќе го сретнете. Зачувајте ги пораките од таа размена наместо конечната ознака.

Читајте ја фазата, не ознаката

Во IKEv2, IKE-асоцијацијата и CHILD-асоцијацијата се обновуваат по одделни распореди. Предлог што бил прифатлив за првото договарање не е автоматски прифатлив за второто. Едниот може да заврши додека другиот се одбива, што создава тунел што постои наполовина. Запишете ја размената со алатката што ја поседува, а не со ред од дневникот на клиентот:

swanctl --list-sas
swanctl --log --level 2
ip xfrm state list

За OpenVPN, еквивалентниот настан е преговарање одново, управувано од верзијата и поставките за распоредување. Неговото однесување при автентикација има свои режими на грешка. Пораката што е важна ја именува неуспешната фаза, и треба да ја запишете буквално, наместо да ја прераскажувате во тикет.

Запишете ги и временските ознаки. Пад на фиксен интервал по последното успешно договарање е сосема различно откритие од оној што доаѓа случајно за време на употреба, а интервалот често е единствениот доказ што преживува.

Споредете го предлогот што не успева

Одбиен предлог создава јасна порака кај одговорниот. Обичната причина е разлика меѓу двата краја во алгоритам, должина на клуч, група или времетраење. Почетното CHILD договарање можеби успеало зашто го започнала другата страна, што значи дека се користел списокот предлози на другата страна. Погледнете ги двата краја пред да смените нешто.

Несовпаѓањата во времетраењето заслужуваат посебно внимание, зашто вредност што изгледала дарежлива на едниот крај може да ја натера другата страна да започне обновување што не може да го заврши. Документацијата за однесувањето при промена на клучеви опишува како се поттикнува обновувањето на асоцијацијата и како двата краја можат да се разликуваат во своите временски очекувања. Споредете што тврди секој крај дека поддржува, а не што предлага конфигурациската датотека.

Стар профил или шаблон на провајдер може да закачи предлог што тековното издание повеќе не го нуди. Несовпаѓањето се појавува само кога се наметнува ново договарање.

Одвојте проблем со акредитиви од недостапен партнер

Обновување што не успева при автентикација изгледа слично во клиентот и сосема поинаку на серверот. Ако акредитивот се проверува повторно при преговарањето, истечен сертификат, откажан профил или сменета лозинка ќе предизвикаат пад точно на интервалот на обновување, додека сите претходни врски успеале. Недостапниот партнер е третата можност и не создава никакво одбивање: пакетите излегуваат и ништо не одговара. Тој случај обично следи промена на мрежата, а не тајмер, затоа проверете дали грешката доаѓа по роуминг, период на мирување или промена на маршрута.

Разликувајте ги трите по тоа што го забележал далечниот крај. Одбивање со причина, грешка при автентикација и тишина се три различни поправки. Рестартирањето на клиентот ги спојува во едно бескорисно набљудување.

Проверете ги датумите на сертификатот и состојбата на сметката пред да ја обвините мрежата. Двете се ефтини за проверка и двете се невидливи во пораката на самиот клиент.

Наметнете едно обновување и прочитајте го резултатот

Наметнете едно обновување преку методот што го поддржува операторот, наместо да чекате час за следното. Задржете ја потребната политика за грешка недопрена додека го правите тоа. Исклучувањето на проверката или растегнувањето на времетраењата на еден ден го прави симптомот да исчезне од вашите дневници без ништо да се исправи. Тоа остава и подолг прекин за следниот човек.

Кога поправката е на место, проверете го обновениот тунел и потоа упатете ново барање од апликацијата. Апликациската сесија што била жива кога се сменила асоцијацијата може да бара свое закрепнување, иако тунелот повторно е здрав. Корисниците ќе го пријават тоа како VPN што уште е расипан.

Запишете ги верзиите на изданието, договорените тајмери и фазата што не успеа. Следното повторување тогаш ќе може да се спореди со ова, наместо повторно да се опишува од сеќавање.