VPN terputus pada selang yang sama? Padankan pemasa
Terputus pada selang tetap ialah cap jari. Bandingkan pembaharuan kunci terowong, pemasa melahu NAT, pajakan DHCP dan had akaun sebelum mengubah apa-apa.
Terowong yang mati setiap lima belas minit, atau setiap jam pada minit yang sama, memberitahu anda bahawa sesuatu pemasa telah tamat, bukan bahawa rangkaian tidak stabil. Langkah berguna ialah mencatat selang itu dan membandingkannya dengan empat pemasa yang menghasilkan corak ini. Menukar had masa sebelum perbandingan itu biasanya memindahkan kegagalan tanpa menjelaskannya, yang menjadikan kejadian seterusnya lebih sukar dibaca daripada yang pertama. Pengukuran mengambil masa sepuluh minit dan menggantikan seminggu tekaan.
Tukar selang kepada nombor
Kumpulkan lima atau enam kejadian dan hitung jurang antaranya, bukan jurang dari permulaan hari. Putus pada 09:12, 10:12 dan 11:12 ialah sempadan setiap jam; putus pada 09:12, 09:27 dan 09:42 ialah lima belas minit dari sambungan berjaya terakhir. Bundarkan hasil kepada pemasa yang paling mungkin, bukan kepada minit terdekat.
Catat dua saat bagi setiap kejadian: bila trafik terakhir bergerak dan bila klien melaporkan pemutusan. Kedua-duanya berbeza apabila terowong mati secara senyap dan klien hanya menyedarinya pada penghantaran seterusnya, dan perbezaan itulah yang memisahkan tamat masa melahu daripada kegagalan keras. Klien yang lambat menyedari mengembungkan tetingkap melahu yang anda ukur.
Perhatikan sama ada penyambungan semula adalah automatik. Klien yang menyambung semula dalam beberapa saat mengekalkan selang kelihatan dalam log dan di luar laporan pengguna, sebab itulah kegagalan ini sering digambarkan sebagai sekali-sekala dan bukan berkala. Ia juga menyembunyikan kejadian itu daripada orang yang menggunakan komputer riba.
Empat pemasa yang kelihatan serupa
Hampir setiap kejatuhan terowong berulang datang daripada salah satu ini: pembaharuan kunci protokol, tamatnya pemetaan melahu, kejadian DHCP atau antara muka, atau dasar akaun. Ia berbeza dari segi sama ada trafik mengalir dan apa yang dikatakan log pada sempadan.
Tandatangan di bawah wajar dipelajari, kerana ia membolehkan anda menolak tiga penjelasan daripada satu baris log:
| Timer | Typical trigger | What the log shows at the boundary |
|---|---|---|
| Protocol rekey | Traffic present, fixed interval | Negotiation lines, sometimes a failure |
| NAT or firewall idle | No traffic for minutes | Silence, then a timeout on send |
| DHCP lease or link change | Half the lease, or a radio event | Address or interface churn |
| Account session limit | Wall-clock hours since login | Clean disconnect, server-side reason |
Baris pertama ialah mekanisme keselamatan yang menjalankan tugasnya, dan yang kedua ialah peranti perantaraan yang lupa keadaan. Mengelirukan keduanya membawa kepada melemahkan pembaharuan atau mengejar peraturan tembok api yang tidak pernah terlibat.
Sibuk berbanding melahu memberitahu anda separuh mana
Lakukan perbandingan terkawal dengan trafik berterusan, seperti aliran panjang ke hos di dalam terowong, dan perhatikan sama ada selang berubah. Jika pemutusan hilang semasa data mengalir, pemasa itu berdasarkan melahu.
Jika ia bertahan dengan trafik berterusan, puncanya tergolong dalam pembaharuan, pajakan atau dasar. Ujian tunggal ini menyingkirkan separuh calon dalam kira-kira sejam pemerhatian, dan ia tidak memakan kos selain perhatian.
Kekalkan rangkaian akses tidak berubah semasa ujian. Bertukar antara Wi-Fi dan Ethernet di tengah-tengah perbandingan memasukkan tepat kejadian antara muka yang anda cuba bezakan daripada pemasa.
Padankan baris log dengan sempadan
Baca log klien dan pelayan di sekitar saat yang dicatat, bukan keseluruhan fail. Pembaharuan menunjukkan rundingan; tamat melahu tidak menunjukkan apa-apa sehingga paket seterusnya; perubahan pajakan menunjukkan kerja alamat; had dasar biasanya menunjukkan pemutusan pentadbiran yang bersih.
Perintah ini mengeluarkan tetingkap berkaitan daripada setiap sumber:
grep -iE "reneg|TLS Error|Inactivity" /var/log/openvpn.log | tail -20
journalctl -u NetworkManager --since "-90 min" | grep -iE "dhcp|link"
wg showJika ketiga-tiga sumber bersetuju pada cap masa, anda tahu pemilik pemasa itu. Jika hanya log klien mempunyai sesuatu, pelayan itu mungkin bukan yang menamatkan sesi.
Baiki peringkatnya, bukan ikonnya
Setiap pemilik mempunyai satu pembaikan yang disokong. Kegagalan pembaharuan memerlukan cadangan yang serasi di kedua-dua hujung. Tamat melahu memerlukan isyarat hayat atau jangkaan melahu yang lebih pendek, dalam had yang dibenarkan laluan. Kejadian pajakan memerlukan tetapan antara muka atau kuasa dibetulkan. Had akaun ialah keputusan dasar, bukan pepijat.
Mematikan pembaharuan atau pengesahan untuk mengekalkan ikon hijau menukar pemutusan yang kelihatan dengan kelemahan yang tidak kelihatan, dan membuat anda tidak dapat mengatakan bila terowong terakhir berunding tentang kunci baharu. Uji semula tempoh asal selepas itu dan simpan cap masa, supaya kejadian seterusnya boleh dibandingkan dengan yang ini dan bukan bermula dari awal.