Keepalive bukan sambungan semula: pilih mengikut kegagalan anda

Keepalive dan sambungan semula dikonfigurasikan serentak tetapi menyelesaikan masalah berbeza, sebab itu melaras satu jarang membaiki yang lain. Keepalive menghantar trafik kecil untuk mengekalkan entri keadaan hidup atau menyedari bahawa rakan setara berhenti menjawab. Sambungan semula merobohkan apa yang rosak dan membina semula hubungan, termasuk kunci, alamat dan laluan. Pilih mekanisme yang sepadan dengan kegagalan, bukan yang tombolnya sudah anda kenal. Dua soalan menentukannya: adakah laluan itu mati, atau ada sesuatu antara rakan setara yang melupakannya?

Apabila pemetaan menjadi masalah

Terowong yang mati hanya selepas beberapa minit senyap biasanya kehilangan entri terjemahan, bukan rakan setara. Pilihan PersistentKeepalive pada WireGuard wujud untuk keadaan NAT dan tembok api, dan nota projek sendiri menggambarkannya begitu, bukan sebagai pemeriksaan kesihatan. Selang beberapa puluh saat mengekalkan entri hangat, manakala paket setiap saat ialah keputusan bateri dan bukan keputusan kebolehpercayaan. OpenVPN tiba di tempat yang sama melalui ping dan ping-restart , yang mula-mula menyedari kesenyapan itu lalu bertindak ke atasnya.

Tetapan itu juga tidak boleh ditukar ganti antara protokol. Dasar rakan mati IKEv2, pemasa ping OpenVPN dan keepalive WireGuard menjawab soalan yang sama dengan tiga sintaks dan tiga nilai lalai berbeza, jadi menyalin nombor antaranya ialah tekaan berpakaian pelarasan.

Apabila hubungan itu sudah tiada

Jika rakan setara menukar alamat, kelayakan luput atau hujung jauh dimulakan semula, paket kecil bukan pembaikannya. Sambungan semula mesti membina semula keadaan : dapatkan alamat, pasang semula laluan, rundingkan semula kunci dan dalam sesetengah penggunaan sahkan semula pengguna.

Klien yang menyambung semula tanpa pengawasan memegang sijil atau rahsia tersimpan. Klien yang akan bertanya kepada manusia gagal tepat apabila tiada sesiapa hadir, dan itulah senario apabila sambungan semula penting. Itu pilihan reka bentuk yang dibuat berbulan-bulan lebih awal, bukan tetapan yang boleh anda ubah semasa gangguan.

Apa yang kedua-duanya tidak buktikan

Terowong boleh disambung semula, berkunci dan berlaluan sementara perkhidmatan di belakangnya mati, dan keepalive boleh menahan pemetaan terbuka untuk sesi yang pelayan sudah hilang berjam-jam. Kedua-dua mekanisme boleh melaporkan kejayaan sedangkan perkara yang benar-benar anda pedulikan tidak tersedia.

Sebab itu ujian berakhir dengan permintaan sebenar. Hantar sesuatu melalui terowong selepas selang yang anda pedulikan, kemudian cetuskan secara berasingan kegagalan yang anda reka: tempoh melahu untuk kes pemetaan, mula semula atau perubahan alamat untuk kes sambungan semula.

Menyekat trafik terus ialah keputusan berasingan

Gelung sambungan semula boleh menjadi sihat sepenuhnya sementara aplikasi menggunakan laluan biasa secara senyap, dan itu kebocoran, bukan kegagalan. Jika syaratnya tiada apa keluar di luar terowong, nyatakan dengan jelas dalam konfigurasi klien dan buktikannya dengan menurunkan terowong dan melihat apa yang masih bersambung. Tiada mekanisme yang membayangkan tingkah laku itu, dan tiada disiplin cubaan semula yang menetapkannya.

Catat mekanisme mana yang berjalan dan sama ada permintaan baharu berjaya selepasnya. Dua fakta itulah yang diperlukan jurutera seterusnya, dan kedua-duanya tidak kelihatan dalam ikon status. Baris log yang menyatakan klien menyambung semula bukan sama dengan permintaan yang berjaya.

Tulis dasar, bukan hanya nombor

Letakkan pasangan itu dalam satu ayat: selang melahu, ambang kemandirian, apa yang mencetuskan pembinaan semula , dan apa yang klien lakukan semasa mencuba semula. Tanpa ayat itu, setiap insiden masa depan membuka semula perdebatan sama tentang sama ada keepalive terlalu pendek atau sambungan semula terlalu perlahan.

Nota WireGuard tentang had ialah peringatan berguna bahawa keepalive ialah jalan pintas untuk kotak perantaraan, bukan reka bentuk kemandirian umum. Baca had itu sebelum menaikkan kekerapan sebagai jawapan kepada masalah yang tidak dapat diselesaikannya.