Il-VPN fuq UDP tieqaf meta ma jkunx qed jaħdem: il-firewall nesa l-fluss tiegħek

Il-VPN jikkonnettja, jaħdem għal ftit u mbagħad jieqaf jgħaddi t-traffiku waqt li l-klijent għadu juri sessjoni. Erġa' jikkonnettja jsewwi dan, u għalhekk jidher bħala bug tal-klijent. Normalment huwa firewall jew apparat NAT li warrab immappjar UDP inattiv u m'għandux idea li t-tunnel għadu jeżisti.

Is-sintomu huwa konsistenti biżżejjed biex jiġi dijanjostikat: jidher wara inattività, mhux taħt tagħbija.

Kif tidher waqfa minħabba inattività

Kejjel, mhux iddeskrivi. Innota kemm idum it-tunnel inattiv qabel ma jieqaf it-traffiku, jekk pakkett ġdid li joħroġ jqajjimx mill-ġdid, u jekk l-interface tal-klijent għadhiex iżżomm l-indirizz tagħha. Jekk talba ġdida mill-klijent taħdem iżda tweġiba għal fluss eżistenti ma taħdimx, l-immappjar huwa l-wieħed suspettat. Jekk xejn ma jaħdem sakemm terġa' tikkonnettja, l-istat tas-sessjoni tal-klijent ukoll telaq.

It-tnejn huma marbuta mal-inattività, u għandhom bżonn korrezzjonijiet differenti.

Innota l-ħinijiet qabel ma tibdel xejn. Rapport li jieqaf wara madwar għaxar minuti inattivi jista' jiġi ttestjat, filwaqt li rapport li jaqa' bl-addoċċ ma jistax. Dik id-differenza tiddeċiedi jekk tiġrix wara timer jew bidla fir-routing.

Sib l-apparat li nesa

Diversi apparati jistgħu jżommu stat għall-istess fluss: ir-router lokali, traduttur aktar 'il fuq, fruntiera tal-cloud u l-firewall tal-host. Kull wieħed għandu t-timer tiegħu, u l-iqsar jirbaħ. Waqfa ta' ħames minuti normalment tfisser li apparat wieħed huwa konfigurat ferm inqas mill-oħrajn.

Tassumix li l-valur prestabbilit dokumentat huwa l-timeout fuq il-passaġġ tiegħek. Huwa l-prestabbilit ta' apparat wieħed.

• Router tad-dar: spiss minuti, xi drabi ħafna inqas.
• NAT tal-cloud jew bilanċjatur tat-tagħbija: fittex it-timeout inattiv dokumentat speċifikament għal UDP.
• Firewall tal-host: it-timers tal-intraċċar tan-netfilter japplikaw għal kull fluss.

Iċċekkja t-timers fuq il-passaġġ reali

Fuq Linux, it-timers tal-intraċċar tan-netfilter huma viżibbli u aġġustabbli: sysctl net.netfilter.nf_conntrack_udp_timeout u net.netfilter.nf_conntrack_udp_timeout_stream. It-tieni japplika ladarba jkun intwera traffiku fiż-żewġ direzzjonijiet, u għalhekk tunnel stabbilit jista' jgħix itwal minn sonda sempliċi.

RFC 4787 jistabbilixxi l-imġiba tal-UDP NAT u l-minimi rakkomandati. Din hija r-referenza li għandha tiġi kkwotata meta l-prestabbilit tal-fornitur jidher qasir b'mod mhux tas-soltu.

Keepalive u konnessjoni mill-ġdid huma għodod differenti

Keepalive iżomm immappjar ħaj; konnessjoni mill-ġdid tibni sessjoni mejta mill-ġdid. Huma jsolvu fallimenti differenti u mhumiex settings tal-veloċità li jistgħu jinbidlu. L-għażla PersistentKeepalive ta' WireGuard tibgħat pakkett b'intervall fiss biex iżżomm ir-rabta NAT miftuħa. L-għażla keepalive ta' OpenVPN tagħmel l-istess xogħol bil-mod tagħha. L-ebda waħda ma tgħin jekk l-apparat fin-nofs diġà nesa l-fluss u qed iwarrab iż-żewġ direzzjonijiet.

Sondi spiss ħafna jżidu xogħol mingħajr ma jsewwu l-fruntiera żbaljata.

Ivverifika b'talba ġdida, mhux b'riload tal-paġna

Wara li tibdel timer jew iżżid keepalive, erġa' agħmel l-ixxenarju inattiv eżattament bħal qabel. Imbagħad agħmel talba ġenwinament ġdida mill-applikazzjoni koperta. Tab tal-browser li kien diġà mgħobbi jista' jiġi rrenderizzat mill-cache u ma jgħidlek xejn.

Jekk il-waqfa tippersisti, ċċaqlaq hop wieħed 'il barra u ċċekkja t-tabella tal-istat ta' dak l-apparat.