Hvorfor VPN-en din faller hver gang nøklene roteres

Tilkoblingen virker i en time og dør deretter, og klienten rapporterer ikke noe mer nyttig enn disconnected. Den perioden er ledetråden, fordi noe ved fornyelsesutvekslingen skiller seg fra det første håndtrykket. Timeren bestemmer bare når du møter den. Lagre meldingene fra den utvekslingen i stedet for den endelige etiketten.

Les fasen, ikke etiketten

I IKEv2 fornyes IKE-tilknytningen og CHILD-tilknytningen etter separate tidsplaner. Et forslag som var akseptabelt for den første forhandlingen, er ikke automatisk akseptabelt for den andre. Den ene kan fullføres mens den andre avvises, noe som gir en tunnel som halvveis eksisterer. Ta opp utvekslingen med verktøyet som eier den, i stedet for en klientlogglinje:

swanctl --list-sas
swanctl --log --level 2
ip xfrm state list

For OpenVPN er den tilsvarende hendelsen en nyforhandling styrt av versjonen og utrullingsinnstillingene. Autentifiseringsadferden har sine egne feilmoduser. Meldingen som betyr noe, navngir fasen som feilet, og du bør notere den ordrett i stedet for å omformulere den i en sak.

Skriv også ned tidsstemplene. Et utfall med fast intervall etter den siste vellykkede forhandlingen er et helt annet funn enn ett som kommer tilfeldig under bruk, og intervallet er ofte det eneste beviset som overlever.

Sammenlign forslaget som feiler

Et avvist forslag gir en klar melding hos svareren. Den vanlige årsaken er en forskjell mellom de to endene i algoritme, nøkkellengde, gruppe eller levetid. Den første CHILD-forhandlingen kan ha lykkes fordi den andre siden startet den, noe som betyr at den andre sidens forslagsliste ble brukt. Se på begge ender før du endrer noe.

Avvik i levetid fortjener spesiell oppmerksomhet, fordi en verdi som så raus ut i den ene enden kan få den andre enden til å starte en fornyelse den ikke klarer å fullføre. Dokumentasjonen om nøkkelfornyelsesadferd beskriver hvordan tilknytningsfornyelse utløses, og hvordan de to endene kan avvike i tidsforventningene sine. Sammenlign hva hver ende hevder å støtte, i stedet for hva konfigurasjonsfilen antyder.

En gammel profil eller en leverandørmal kan feste et forslag som gjeldende versjon ikke lenger tilbyr. Avviket vises bare når en ny forhandling tvinges fram.

Skill et legitimasjonsproblem fra en utilgjengelig motpart

En fornyelse som feiler på autentifisering, ser lik ut i klienten og helt annerledes på serveren. Hvis en legitimasjon sjekkes på nytt ved nyforhandlingen, vil et utløpt sertifikat, en tilbakekalt konto eller et endret passord gi et utfall nøyaktig i fornyelsesintervallet, mens hver tidligere tilkobling lyktes. En utilgjengelig motpart er den tredje muligheten, og den gir ingen avvisning i det hele tatt: pakkene går ut og ingenting svarer. Det tilfellet følger vanligvis en nettverksendring i stedet for en timer, så sjekk om feilen følger roaming, en inaktiv periode eller en ruteendring.

Skjelne de tre etter hva den fjerne enden logget. En avvisning med grunn, en autentifiseringsfeil og stillhet er tre forskjellige rettelser. Å starte klienten på nytt kollapser dem til én ubrukelig observasjon.

Sjekk sertifikatdatoene og kontostatusen før du klandrer nettverket. Begge er billige å undersøke, og begge er usynlige i klientens egen melding.

Tving gjennom én fornyelse og les resultatet

Tving gjennom én fornyelse med operatørens støttede metode i stedet for å vente en time på den neste. Hold den påkrevde feilpolicyen intakt mens du gjør det. Å slå av verifisering eller strekke levetider til en dag får symptomet til å forsvinne fra loggene dine uten å rette noe. Det etterlater også et lengre utfall som venter på neste person.

Når rettelsen er på plass, sjekk den fornyede tunnelen og send deretter en ny forespørsel fra applikasjonen. En applikasjonsøkt som levde da tilknytningen endret seg, kan trenge sin egen gjenoppretting selv om tunnelen er sunn igjen. Brukere vil rapportere det som at VPN-en fortsatt er ødelagt.

Noter versjonsnumrene, de forhandlede timerne og fasen som feilet. Den neste forekomsten kan da sammenlignes med denne i stedet for å beskrives på nytt fra hukommelsen.