SSH jaqa’ fuq il-VPN kull minuta? Mhux il-keepalive

Sessjoni li tmut fi intervall ripetibbli normalment titlef l-istat tal-firewall, mhux il-keepalives. Ittraċċa ż-żewġ direzzjonijiet qabel ma tmiss MTU jew timers.

SSH jikkonnettja, jaħdem madwar minuta, imbagħad jiffriża f’intervall bejn wieħed u ieħor l-istess kull darba. L-ispjegazzjoni komuni hija timeout ta’ inattività, għalhekk in-nies ibaxxu l-MTU u jissettjaw keepalives tal-klijent. Il-link WireGuard li ħdimt fuqu kien diġà għadda minn dan kollu: MTU tat-tunnel iżgħar, settings client-alive, keepalive tat-tunnel konfigurat. Is-sospensjonijiet baqgħu għaddejjin mingħajr bidla. Il-kawża rriżultat li kienet rotta LAN asimmetrika, u l-mudell jistħoqqlu jiġi rikonoxxut għax jegħleb kull aġġustament ibbażat fuq it-timers.

Keepalive jipprova li l-host tiegħek għadu lest li jibgħat. Ma jistax iġiegħel apparat li jżomm l-istat jara risposta li ma tgħaddix minnu qatt.

Il-mit: il-keepalives jissewwew waqfa siekta

Il-keepalives SSH jeżistu għal kompitu wieħed: ma jħallux xi ħaġa li tgħodd is-skiet tneħħi sessjoni inattiva. Dan jagħmluh tajjeb. Ma jsolvux apparat li jżomm l-istat li ra l-ewwel packet f’direzzjoni waħda u mbagħad qatt ma ra r-risposta, għax xejn minn dak li jibgħat il-klijent ma jbiddel liema interface tuża r-risposta.

Bidla fl-MTU hija l-aġġustament popolari l-ieħor, u għandha l-istess mod ta’ falliment. Li tbaxxi l-MTU jgħin fil-frammentazzjoni u fil-problemi tal-MTU tal-passaġġ, u ma tagħmel xejn għal rotta. Jekk it-timers u l-MTU tiegħek huma diġà raġonevoli u l-waqfa għadha fi intervall ripetibbli, l-intervall qed jgħidlek dwar timeout xi mkien, mhux dwar id-daqs tal-packet. Ikteb l-intervall u qabblu mat-timeouts tal-istat fuq kull apparat fil-passaġġ.

Is-sinjal huwa r-regolarità flimkien ma’ sessjoni li tibqa’ użabbli f’dak l-intervall. It-timeouts tal-inattività jolqtu meta ma jiġri xejn; dan jolqot waqt li tkun qed tittajpja.

X’jagħmel il-gateway żejjed fil-verità

Poġġi l-laptop u l-gateway VPN fl-istess LAN, b’firewall LAN separat bħala l-gateway awtomatiku. Il-laptop jibgħat it-traffiku lejn il-VPN lill-firewall, il-firewall jgħaddih lill-gateway, u ir-risposti tal-gateway jerġgħu lura dritt mill-LAN għal-laptop. Dik it-tieni sieq qatt ma tgħaddi mill-firewall, għalhekk it-tabella tal-istat tiegħu żżomm nofs konnessjoni.

L-indirizzi hawn taħt jirriflettu dik il-konfigurazzjoni:

Laptop:             192.168.50.20
LAN firewall:       192.168.50.1
WireGuard gateway:  192.168.50.10
Remote VPN subnet:  10.77.0.0/24

Ir-ridirezzjonijiet u l-immaniġġjar tal-istat imbagħad ibiddlu handshake li jaħdem f’konnessjoni li tmut aktar tard minflok minnufih. Id-dewmien huwa l-entrata tal-istat li tiddejjaq jew kontroll aktar strett li jfalli, u għalhekk l-intervall jidher daqshekk mekkaniku.

Xejn minn dan ma jidher fil-konfigurazzjoni tal-klijent, u għalhekk it-tfittxija għalih normalment tibda fil-fajl żbaljat.

Agħżel passaġġ wieħed intenzjonat

Għall-konfigurazzjoni ta’ fuq, l-irrotar tas-subnet imbiegħed direttament lejn il-gateway VPN ineħħi nofs il-konnessjoni:

sudo ip route add 10.77.0.0/24 via 192.168.50.10
ip route get 10.77.0.42

Dawn huma indirizzi ta’ eżempju. Il-hop li jmiss irid ikun aċċessibbli fuq il-LAN tiegħek, il-prefiss irid ikun in-netwerk imbiegħed maħsub, u t-tieni kmand jurik ir-riżultat qabel ma tiddependi fuqu. Jekk il-gateway mhuwiex fuq is-subnet tiegħek, din ir-rotta mhijiex l-aġġustament li trid.

Jekk il-firewall huwa maħsub biex jissorvelja t-traffiku bejn dawk is-sistemi, l-irrotar madwaru huwa disinn żbaljat. Minflok, ħalli ż-żewġ direzzjonijiet jaqsmu l-konfini u kkonfigura r-rotot fuq kull naħa sabiex il-passaġġ lura jaqbel. L-għan huwa passaġġ wieħed intenzjonat, mhux inqas kontroll tal-istat.

noti dwar l-irrotar asimmetriku ta’ Netgate jiddeskrivu l-istess asimmetrija fil-livell tal-interface u l-problemi tal-istat li toħloq, għalhekk aqrahom qabel ma tħoll l-immaniġġjar tal-istat globalment. Skonnessjonijiet bil-ħin simili għal dan il-każ mhumiex prova waħedhom. Ittratta l-artiklu bħala deskrizzjoni ta’ mod wieħed ta’ falliment, imbagħad ipprova li n-netwerk tiegħek stess jaqbel miegħu qabel ma tbiddel il-politika globali tal-istat.

Ittestja miż-żewġ truf

Aqra r-rotta tal-laptop lejn id-destinazzjoni u r-rotta tad-destinazzjoni lura lejn il-laptop; dawn huma żewġ deċiżjonijiet separati u x’aktarx waħda biss minnhom hija żbaljata. Ping li jirnexxi mill-gateway stess jista’ jaħbi l-problema għal kollox, għax joriġina fuq il-magna li l-passaġġ tagħha diġà huwa korrett. Għandek bżonn iż-żewġ direzzjonijiet kif jarawhom iż-żewġ truf tas-sessjoni reali.

Wara l-aġġustament, erġa’ fetaħ SSH u żomm is-sessjoni miftuħa ħafna aktar mill-intervall li kien ifalli qabel. Imbagħad agħmel ir-rotta permanenti fil-konfigurazzjoni tan-netwerk approvata, għax kmand wieħed mhuwiex pjan ta’ restart u l-problema terġa’ lura fir-restart li jmiss b’misteru ġdid.

Meta l-asimmetrija hija tajba

L-irrotar asimmetriku huwa normali f’ħafna netwerks u mhuwiex miksur b’definizzjoni. Isir problema meta l-intraċċar tal-istat, it-traduzzjoni jew il-politika jiddependu milli jaraw passaġġ li ma jarawhx, u kull wieħed minn dawn għandu rimedju differenti. Iċċekkja x’jeħtieġ verament l-apparat tan-nofs qabel ma terġa’ tiddisinja madwaru.

It-tweġiba dejjiema ssemmi ż-żewġ passaġġi, l-apparat li jeħtieġ jara t-tnejn, u r-rotta li tagħmilha possibbli. Jekk ma tistax issemmi l-apparat, għadek ma sibtx il-kawża.

Artikli relatati