Mengapa VPN anda terputus setiap kali kunci berputar

Sambungan berfungsi selama sejam dan kemudian mati, dan klien tidak melaporkan apa-apa yang lebih berguna daripada disconnected. Tempoh itulah petunjuknya, kerana sesuatu dalam pertukaran pembaharuan berbeza daripada jabat tangan awal. Pemasa hanya menentukan bila anda menemuinya. Simpan mesej daripada pertukaran itu dan bukan label akhirnya.

Baca peringkat, bukan label

Dalam IKEv2, persatuan IKE dan persatuan CHILD diperbaharui mengikut jadual berasingan. Cadangan yang boleh diterima untuk rundingan pertama tidak semestinya boleh diterima untuk yang kedua. Satu boleh selesai sementara yang lain ditolak, yang menghasilkan terowong yang wujud separuh. Rakam pertukaran itu dengan alat yang memilikinya dan bukan dengan baris log klien:

swanctl --list-sas
swanctl --log --level 2
ip xfrm state list

Bagi OpenVPN, peristiwa yang setara ialah rundingan semula yang dikawal oleh versi dan tetapan penggunaan. Tingkah laku pengesahannya mempunyai mod kegagalan tersendiri. Mesej yang penting menamakan peringkat yang gagal, dan anda harus merekodkannya secara verbatim dan bukannya menulis semulanya dalam tiket.

Catat juga cap masa. Terputus pada selang tetap selepas rundingan berjaya terakhir ialah penemuan yang sangat berbeza daripada yang datang secara rawak semasa penggunaan, dan selang itu selalunya satu-satunya bukti yang kekal.

Bandingkan cadangan yang gagal

Cadangan yang ditolak menghasilkan mesej yang jelas pada penjawab. Punca biasa ialah perbezaan antara kedua-dua hujung dalam algoritma, panjang kunci, kumpulan atau jangka hayat. Rundingan CHILD awal mungkin berjaya kerana pihak lain memulakannya, bermakna senarai cadangan pihak lain digunakan. Lihat kedua-dua hujung sebelum mengubah apa-apa.

Ketidakpadanan jangka hayat wajar diberi perhatian khusus, kerana nilai yang kelihatan murah hati di satu hujung boleh menyebabkan hujung yang lain memulakan pembaharuan yang tidak dapat diselesaikannya. Dokumentasi tingkah laku pertukaran kunci menerangkan bagaimana pembaharuan persatuan dicetuskan dan bagaimana kedua-dua hujung boleh berbeza dalam jangkaan masa mereka. Bandingkan apa yang didakwa disokong oleh setiap hujung dan bukannya apa yang dicadangkan oleh fail konfigurasi.

Profil lama atau templat penyedia boleh menyematkan cadangan yang tidak lagi ditawarkan oleh keluaran semasa. Ketidakpadanan hanya muncul apabila rundingan baharu dipaksa.

Asingkan masalah kelayakan daripada rakan sebaya yang tidak dapat dicapai

Pembaharuan yang gagal dalam pengesahan kelihatan serupa dalam klien dan sama sekali berbeza pada pelayan. Jika kelayakan disemak semula semasa rundingan semula, sijil yang tamat tempoh, akaun yang dibatalkan atau kata laluan yang diubah akan menghasilkan terputus tepat pada selang pembaharuan sedangkan setiap sambungan sebelumnya berjaya. Rakan sebaya yang tidak dapat dicapai ialah kemungkinan ketiga, dan ia tidak menghasilkan sebarang penolakan: paket keluar dan tiada apa yang menjawab. Kes itu biasanya mengikut perubahan rangkaian dan bukannya pemasa, jadi semak sama ada kegagalan berlaku selepas perayauan, tempoh melahu atau perubahan laluan.

Bezakan ketiga-tiganya melalui apa yang dilog oleh hujung jauh. Penolakan dengan sebab, kegagalan pengesahan dan kesunyian ialah tiga pembetulan yang berbeza. Memulakan semula klien melonggokkan semuanya menjadi satu pemerhatian yang tidak berguna.

Semak tarikh sijil dan keadaan akaun sebelum menyalahkan rangkaian. Kedua-duanya murah untuk diperiksa dan kedua-duanya tidak kelihatan dalam mesej klien itu sendiri.

Paksa satu pembaharuan dan baca hasilnya

Paksa satu pembaharuan melalui kaedah yang disokong pengendali dan bukannya menunggu sejam untuk yang seterusnya. Kekalkan dasar kegagalan yang diperlukan tanpa diusik semasa anda berbuat demikian. Mematikan pengesahan atau meregangkan jangka hayat sehingga sehari membuat gejala hilang daripada log anda tanpa membetulkan apa-apa. Ia juga meninggalkan gangguan yang lebih lama untuk orang seterusnya.

Setelah pembetulan berada di tempatnya, semak terowong yang diperbaharui dan kemudian buat permintaan baharu daripada aplikasi. Sesi aplikasi yang masih hidup semasa persatuan berubah mungkin memerlukan pemulihannya sendiri walaupun terowong sihat semula. Pengguna akan melaporkannya sebagai VPN yang masih rosak.

Rekodkan versi keluaran, pemasa yang dirundingkan dan peringkat yang gagal. Kejadian seterusnya kemudian boleh dibandingkan dengan yang ini dan bukannya diterangkan semula daripada ingatan.