Kvifor vpnc koplar frå etter 24 minutt, og kva du bør endre

Tunnelen din døyr med eit gjentakande intervall, og det er ein timer som melder om seg sjølv, ikkje ein dårleg kabel. Tjuefire minutt er 1440 sekund, den typen runde verdi som ein profil eller ein policy ved hovudenden ber. Deretter feilar den same konfigurasjonen mot den same konsentratoren kvar gong medan alle andre nettverk fungerer, og inga mengd lenketesting endrar det.

Tre vilkår avgjer kva timer som er din: om klienten gjev opp ei inaktiv økt, om rekey-utvekslinga vert avvist, og om ein omsetjande gateway har skrive om innkapslinga.

Kva timer eig brotet

Mål intervallet over minst tre gjenoppkoplingar før du rører ei innstilling. Ei spreiing på sekund viser til lenketap eller trådlaus roaming; ein verdi som kvar gong landar innan nokre sekund frå same merke, viser til ein policyverdi. Øktlengda fortel òg kven som avslutta henne, fordi ein tidsavbrot på klientsida og ei sletting på serversida etterlet ulike siste linjer i feilsøkingsutdata. Tre gjenoppkoplingar avdekkjer òg om intervallet i det heile driv, noko ei enkelt måling ikkje kan vise.

Skriv ned talet ved sida av hovudenden du snakka med. Når intervallet er stabilt, består det gjenverande arbeidet i å velje mellom tre årsaker, og éi endra innstilling per gjenoppkopling er det som held dei atskilde.

Sak éin: klienten gjev opp ei inaktiv økt

vpnc køyrer sin eigen død-peer-sjekk, og den sjekken kan drepe ei økt som konsentratoren framleis trur er levande, særleg når ein omsetjande gateway sit mellom dei to. Klientsideløysinga i dokumentasjonen er å slå av timeren lokalt og la hovudenden avgjere når ein peer er borte. Begge linjene nedanfor høyrer i vpnc-profilen eller på kommandolinja, og begge er uavhengige av krypteringsinnstillingane.

DPD idle timeout (our side) 0
NAT Traversal Mode cisco-udp

Deaktivering av klient-DPD fjernar ein falsk positiv og fjernar òg din einaste lokale deteksjon, så bruk han åleine og sjå om intervallet i det heile endrar seg.

Sak to: rekey vert avvist

Viss intervallet overlever DPD-endringa, vert rekey i fase 1 kandidaten. Eldre vpnc-bygg handterte rekey mindre nøye enn dagens, og Diffie-Hellman-gruppa er den vanlege usemja. Å tvinge ei gruppe som hovudenden alt godtek, kostar éi linje og éi gjenoppkopling, noko som gjer det til eit billeg eksperiment og ikkje ei policyendring.

IKE DH Group dh5

Gyldige gruppenamn er dh1, dh2 og dh5. Ei gruppe som konsentratoren avviser, gjev ein umiddelbar feil, og det er framleis informasjon: det fortel at hovudenden er kresen og at den opphavlege gruppa truleg var riktig.

Sak tre: omsetjing skriv om innkapslinga

Bak ein omsetjande gateway er Ciscos UDP-innkapsling og den standardbaserte modusen ikkje utskiftbare. Det gale valet gjev ofte ein tunnel som vert etablert, slepp trafikk gjennom og deretter går ut under last, noko som les som eit bandbreiddeproblem og ikkje er det. Endre berre modusen, kople deretter til på nytt og mål brotet igjen. Prøv den andre modusen først etter at dei to første sakene er utelukka.

Frontendane legg til si eiga forvirring her. NetworkManager tilbyr ikkje ein vpnc-tilkoplingstype før plugin-pakken er installert, og ein manglande plugin viser seg som ein gråtona Legg til-knapp i staden for ein feil. KDEs frontend held dei same verdiane i sin eigen profil, så stadfest at daemonen les det du redigerte.

Ein profil som koplar fint frå kommandolinja men ikkje frå skrivebordet, er eit frontend-problem, ikkje eit timerproblem.

Stadfest utvekslinga som feilar før den tredje endringa

Køyr klienten med feilsøkingsutdata og les den siste utvekslinga før brotet. Ei sletting av fase 1 rett før fråkoplinga betyr at klienten gjorde rekey og vart avvist. Ei sletting av fase 2 på same punkt betyr at tunnelen vart riven ned frå den andre sida, og at klientinnstillingane dine ikkje er årsaka.

vpnc --debug 3 office

Sjekk òg etter ein andre nettverksdaemon når tunnelen overlever men trafikken stoppar. To behandlarar som skriv rutetabellen gjev det same symptomet frå skrivebordet og ein heilt annan logg.