UDP VPN сул зогсолтод гацана: галт хана таны урсгалыг мартав

VPN холбогдож, хэсэг хугацаанд ажиллаад, клиент сессийг хараахан харуулж байхад трафик дамжуулахаа болино. Дахин холбогдвол энэ нь засагдана, тиймээс клиентийн алдаа мэт харагдана. Ихэвчлэн энэ нь сул UDP буулгалтыг хаясан бөгөөд туннель хараахан байгааг мэдэхгүй галт хана эсвэл NAT төхөөрөмж юм.

Шинж тэмдэг оношлоход хангалттай тогтвортой: энэ нь идэвхгүй байдлын дараа илэрдэг, ачааллын үед биш.

Сул зогсолтын гацалт хэрхэн харагдах вэ

Түүнийг дүрслэхийн оронд хэмж. Трафик зогсохоос өмнө туннель хэр удаан сул зогсохыг, шинэ гарч буй пакет түүнийг дахин сэргээж байгаа эсэхийг, клиентийн интерфейс хаягаа хараахан хадгалж байгаа эсэхийг тэмдэглэ. Клиентээс шинэ хүсэлт ажиллаж байтал одоо байгаа урсгалд хариу ажиллахгүй бол буулгалт нь сэжигтэн юм. Дахин холбогдох хүртэл юу ч ажиллахгүй бол клиентийн сессийн төлөв ч мөн алдагдсан.

Хоёулаа сул зогсолттой холбоотой бөгөөд өөр өөр засвар шаарддаг.

Ямар нэг зүйлийг өөрчлөхөөс өмнө цагуудыг бич. Ойролцоогоор арван сул зогсолтын минутын дараа зогсдог гэсэн тайланг шалгаж болно, харин санамсаргүй тасардаг гэсэн тайланг шалгаж болохгүй. Энэ ялгаа нь таймерыг мөшгих эсвэл чиглүүлэлтийн өөрчлөлтийг мөшгих эсэхийг шийднэ.

Мартсан төхөөрөмжийг ол

Нэг урсгалд хэд хэдэн төхөөрөмж төлөв хадгалж болно: орон нутгийн чиглүүлэгч, дээрх орчуулагч, үүлэн хил хязгаар болон хостын галт хана. Тус бүр өөрийн таймертай бөгөөд хамгийн богино нь ялдаг. Таван минутын тасалдал нь ихэвчлэн нэг төхөөрөмж бусдаас хамаагүй доогуур тохируулагдсаныг илтгэнэ.

Баримтжуулсан өгөгдмөл утга нь таны замын хугацааны хязгаар гэж битгий бодоорой. Энэ нь нэг төхөөрөмжийн өгөгдмөл юм.

• Гэрийн чиглүүлэгч: ихэвчлэн минутууд, заримдаа хамаагүй бага.
• Үүлэн NAT эсвэл ачааллын тэнцвэржүүлэгч: UDP-д тусгайлан баримтжуулсан сул зогсолтын хугацааг хай.
• Хостын галт хана: netfilter-ийн мөрдөх таймерууд урсгал бүрд үйлчилнэ.

Бодит зам дээр таймеруудыг шалга

Linux дээр netfilter-ийн мөрдөх таймерууд харагдах бөгөөд тохируулж болно: sysctl net.netfilter.nf_conntrack_udp_timeout ба net.netfilter.nf_conntrack_udp_timeout_stream. Хоёр дахь нь трафик хоёр чиглэлд харагдсаны дараа үйлчилдэг тул тогтоосон туннель энгийн шалгалтаас илүү удаан амьдарч чадна.

RFC 4787 UDP NAT-ийн зан төлөв болон санал болгож буй доод хэмжээг тодорхойлдог. Нийлүүлэгчийн өгөгдмөл утга ер бусын богино харагдах үед иш татах ёстой лавлагаа энэ юм.

Keepalive болон дахин холбогдох нь өөр өөр хэрэгсэл

Keepalive нь буулгалтыг амьд байлгадаг; дахин холбогдох нь үхсэн сессийг дахин бүтээдэг. Тэд өөр өөр гэмтлийг шийддэг бөгөөд харилцан сольж болох хурдны тохиргоо биш. WireGuard-ийн PersistentKeepalive тохиргоо тогтмол интервалаар пакет илгээж NAT холбоосыг нээлттэй байлгана. OpenVPN-ийн keepalive сонголт мөн адил ажлыг өөрийн аргаар гүйцэтгэдэг. Дунд байгаа төхөөрөмж урсгалыг аль хэдийн мартсан бөгөөд хоёр чиглэлийг хаяж байгаа бол аль нь ч тус болохгүй.

Хэт олон давтамжтай шалгалт нь буруу хил хязгаарыг засахгүйгээр ажил нэмдэг.

Хуудсыг дахин ачаалахгүйгээр шинэ хүсэлтээр шалга

Таймер өөрчилсний дараа эсвэл keepalive нэмсний дараа сул зогсолтын хувилбарыг өмнөхтэй яг адил давтана. Дараа нь хамрагдсан програмаас үнэхээр шинэ хүсэлт гарга. Өмнө нь ачаалсан хөтчийн таб кэшээс харагдаж болох бөгөөд танд юу ч хэлэхгүй.

Гацалт үргэлжилбэл нэг хоп гадагш шилжиж, тэр төхөөрөмжийн төлөвийн хүснэгтийг шалга.