Waarom vpnc na 24 minuten de verbinding verbreekt en wat je moet wijzigen

Je tunnel sterft op een herhaalbaar interval, en dat is een timer die zichzelf meldt, geen slechte kabel. Vierentwintig minuten is 1440 seconden, het soort ronde waarde dat een profiel of een beleid op de head-end draagt. Daarna faalt dezelfde configuratie telkens tegen dezelfde concentrator terwijl elk ander netwerk werkt, en geen enkele linktest verandert dat.

Drie voorwaarden bepalen welke timer de jouwe is: of de client een inactieve sessie opgeeft, of de rekey-uitwisseling wordt geweigerd, en of een vertalende gateway de encapsulatie heeft herschreven.

Welke timer bezit de onderbreking

Meet het interval over minstens drie herverbindingen voordat je een instelling aanraakt. Een spreiding van seconden wijst op linkverlies of draadloze roaming; een waarde die elke keer binnen enkele seconden van dezelfde markering landt, wijst op een beleidswaarde. De sessieduur vertelt ook wie hem beëindigde, omdat een time-out aan de clientkant en een verwijdering aan de serverkant verschillende laatste regels in de debug-uitvoer achterlaten. Drie herverbindingen laten ook zien of het interval überhaupt afdrijft, wat één meting niet kan tonen.

Schrijf het getal op naast de head-end waarmee je sprak. Zodra het interval stabiel is, bestaat het resterende werk uit kiezen tussen drie oorzaken, en één gewijzigde instelling per herverbinding is wat ze onderscheidbaar houdt.

Geval één: de client geeft een inactieve sessie op

vpnc voert zijn eigen dead-peer-controle uit, en die controle kan een sessie doden die de concentrator nog als levend beschouwt, vooral wanneer een vertalende gateway tussen de twee zit. De oplossing aan de clientkant in de documentatie is de timer lokaal uitschakelen en de head-end laten beslissen wanneer een peer weg is. Beide regels hieronder horen in het vpnc-profiel of op de opdrachtregel, en beide zijn onafhankelijk van de versleutelingsinstellingen.

DPD idle timeout (our side) 0
NAT Traversal Mode cisco-udp

Het uitschakelen van client-DPD verwijdert een valse melding en verwijdert ook je enige lokale detectie, dus pas het alleen toe en kijk of het interval überhaupt verandert.

Geval twee: de rekey wordt geweigerd

Als het interval de DPD-wijziging overleeft, wordt rekey in fase 1 de kandidaat. Oudere vpnc-builds gingen minder zorgvuldig met rekey om dan huidige, en de Diffie-Hellman-groep is het gebruikelijke meningsverschil. Een groep forceren die de head-end al accepteert kost één regel en één herverbinding, wat het een goedkoop experiment maakt in plaats van een beleidswijziging.

IKE DH Group dh5

Geldige groepsnamen zijn dh1, dh2 en dh5. Een groep die de concentrator weigert levert een onmiddellijke fout op, en dat is nog steeds informatie: het zegt je dat de head-end kieskeurig is en dat de oorspronkelijke groep waarschijnlijk juist was.

Geval drie: vertaling herschrijft de encapsulatie

Achter een vertalende gateway zijn Cisco's UDP-encapsulatie en de op standaarden gebaseerde modus niet uitwisselbaar. De verkeerde keuze levert vaak een tunnel op die tot stand komt, verkeer doorlaat en dan onder belasting verloopt, wat als een bandbreedteprobleem leest en dat niet is. Wijzig alleen de modus, verbind dan opnieuw en meet de onderbreking opnieuw. Probeer de andere modus pas nadat de eerste twee gevallen zijn uitgesloten.

Front-ends voegen hier hun eigen verwarring toe. NetworkManager biedt geen vpnc-verbindingstype aan tot het plugin-pakket is geïnstalleerd, en een ontbrekende plugin verschijnt als een grijze Toevoegen-knop in plaats van een fout. De front-end van KDE bewaart dezelfde waarden in een eigen profiel, dus controleer of de daemon leest wat je hebt bewerkt.

Een profiel dat vanaf de opdrachtregel goed verbindt maar niet vanaf de desktop is een front-endprobleem, geen timerprobleem.

Controleer de uitwisseling die faalt vóór de derde wijziging

Start de client met debug-uitvoer en lees de laatste uitwisseling vóór de onderbreking. Een verwijdering van fase 1 vlak vóór de verbreking betekent dat de client heeft herkeyd en geweigerd is. Een verwijdering van fase 2 op hetzelfde punt betekent dat de tunnel van de andere kant is afgebroken, en dat je clientinstellingen niet de oorzaak zijn.

vpnc --debug 3 office

Controleer ook op een tweede netwerkdaemon wanneer de tunnel overleeft maar het verkeer stopt. Twee beheerders die de routingtabel schrijven leveren hetzelfde symptoom vanaf de desktop en een heel ander log.