Mengapa terowong Azure OpenVPN terputus kira-kira setiap enam puluh saat

Terowong menamatkan jabat tangan, membawa trafik selama kira-kira seminit, kemudian menyambung semula. Urutan itu menyingkirkan suspek biasa, kerana firewall yang menyekat port akan menghentikan jabat tangan dan bukan sesi. Apa yang anda hadapi ialah perselisihan tentang keaktifan: satu pihak memutuskan pihak lain telah senyap dan meruntuhkan terowong yang berfungsi. Baris log memberitahu pihak mana, dan itulah yang memilih pembetulan.

Baca baris itu sebelum menyentuh mana-mana pemasa.

Mitos: sesuatu di laluan menyekat terowong

Jika port disekat, sambungan akan gagal pada permulaan dan kekal gagal. Kitaran berulang bermakna mesej kawalan mengalir, sesi terbentuk, dan sesuatu yang lebih lewat dalam perbualan terus tamat tempoh. Penyekatan menghasilkan kesenyapan, dan ini menghasilkan irama.

Irama ialah petunjuk yang berguna. Pemasa menghasilkannya; kehilangan paket jarang.

Baca sebab pemutusan sebelum pemasa

OpenVPN menamakan sebabnya, dan setiap nama menunjuk kepada subsistem yang berbeza. Session invalidated: KEEPALIVE_TIMEOUT ialah pemasa yang tamat tempoh, jadi bandingkan nilai ping dan ping-restart di kedua-dua hujung. AUTH_FAILED ialah kelayakan atau status sijil, dan tiada perubahan pemasa akan membantu. Ralat TLS bermakna kedua-dua pihak tidak pernah sampai ke peringkat keepalive.

Catat masa sambungan, masa pemutusan dan sama ada selang itu stabil hingga ke saat. Satu ukuran itu memisahkan jadual yang dikonfigurasikan daripada kebetulan.

Selang yang stabil ialah pemasa. Selang yang hanyut lebih mungkin masalah laluan atau sesi yang beralih.

Dua pemasa keepalive yang tidak pernah bersetuju

Profil yang dieksport dari portal kadangkala masih membawa baris keepalive atau ping-restart yang disalin daripada templat pelayan komuniti. Gateway menjalankan pengesanan rakan mati sendiri dan memaksakan jangkaannya sendiri, dan kedua-dua jadual tidak perlu sepadan. Apabila kedua-duanya berbeza, klien mula semula mengikut jadual yang gateway tidak pernah setujui.

Kedua-dua nilai itu bukan kawalan yang sama. ping ialah kekerapan klien menghantar gema, dan ping-restart ialah berapa lama ia menunggu tanpa mendengar apa-apa sebelum meruntuhkan terowong. Profil dengan ping-restart pendek dan gateway yang menjawab lambat akan mula semula pada setiap tempoh senyap, yang merupakan tepat bentuk kitaran seminit.

Perubahan terkecil di pihak klien ialah meneutralkan pemasa pada peringkat teratas profil, di luar setiap blok sebaris:

keepalive 0 0

Simpan, muat semula profil, sambung semula. Sesi yang sudah berada dalam memori mengekalkan nilai lama, itulah sebabnya suntingan kadangkala kelihatan tidak melakukan apa-apa.

Nama sijil boleh beralih di bawah kaki anda

Pengesahan sijil Azure bergantung pada klien mempercayai nama yang dibentangkan gateway hari ini. Baris verify-x509-name dalam muat turun lama boleh menyematkan nama yang telah diubah oleh pembinaan semula gateway atau pembaharuan sijil sejak itu, dan ketidakpadanan muncul sebagai gelung penyambungan semula dan bukan ralat yang jelas. Memadam baris memulihkan kesambungan, yang menjadikannya diagnostik yang baik dan pembetulan kekal yang buruk, kerana ia juga membuang pengesahan. Setelah terowong bertahan, pulihkan baris dengan nama yang benar-benar dibentangkan gateway.

Uji generasi klien kedua pada mesin yang sama sebelum menyunting gateway. Jika satu klien berpusing dan yang lain bertahan, profil bukan masalahnya.

Apa yang perlu diubah, dan dalam urutan apa

Seterusnya semak sesi yang beralih. Dua peranti yang berkongsi satu sijil boleh menolak satu sama lain keluar, dan hasilnya kelihatan berkala kerana kedua-dua pihak terus menyambung semula. Bandingkan rekod sesi titik-ke-tapak untuk identiti yang sama yang muncul berulang kali.

Kemudian uji laluan diam dengan menjalankan trafik berterusan selama beberapa minit. Jika pemutusan berhenti semasa trafik mengalir, pemasa yang penting milik peranti NAT atau pengimbang beban di laluan, bukan OpenVPN.

Tetapan gateway sepatutnya diubah hanya selepas keempat-empat ujian itu.