Kvifor VPN-en din fell kvar gong nøklane blir roterte

Tilkoplinga verkar i ein time og døyr deretter, og klienten rapporterer ikkje noko meir nyttig enn disconnected. Den perioden er leietråden, fordi noko ved fornyingsutvekslinga skil seg frå den første handtrykkinga. Timeren avgjer berre når du møter han. Lagre meldingane frå den utvekslinga i staden for den endelege etiketten.

Les fasen, ikkje etiketten

I IKEv2 blir IKE-tilknytinga og CHILD-tilknytinga fornya etter separate tidsplanar. Eit forslag som var akseptabelt for den første forhandlinga, er ikkje automatisk akseptabelt for den andre. Den eine kan fullførast medan den andre blir avvist, noko som gir ein tunnel som halvvegs finst. Ta opp utvekslinga med verktøyet som eig henne, i staden for ei klientlogglinje:

swanctl --list-sas
swanctl --log --level 2
ip xfrm state list

For OpenVPN er den tilsvarande hendinga ei nyforhandling styrt av versjonen og utrullingsinnstillingane. Autentiseringsåferda har sine eigne feilmodus. Meldinga som betyr noko, nemner fasen som feila, og du bør skrive henne ned ordrett i staden for å omformulere henne i ei sak.

Skriv òg ned tidsstempla. Eit utfall med fast intervall etter den siste vellukka forhandlinga er eit heilt anna funn enn eitt som kjem tilfeldig under bruk, og intervallet er ofte det einaste beviset som overlever.

Samanlikn forslaget som feilar

Eit avvist forslag gir ei klar melding hos svararen. Den vanlege årsaka er ein skilnad mellom dei to endane i algoritme, nøkkellengd, gruppe eller levetid. Den første CHILD-forhandlinga kan ha lukkast fordi den andre sida starta henne, noko som betyr at forslagslista til den andre sida vart brukt. Sjå på begge endane før du endrar noko.

Avvik i levetid fortener særskild merksemd, fordi ein verdi som såg raus ut i den eine enden kan få den andre enden til å starte ei fornying han ikkje klarar å fullføre. Dokumentasjonen om nøkkelfornyingsåferd skildrar korleis tilknytingsfornying blir utløyst, og korleis dei to endane kan avvike i tidsforventningane sine. Samanlikn kva kvar ende hevdar å støtte, i staden for kva konfigurasjonsfila antydar.

Ein gammal profil eller ein leverandørmal kan feste eit forslag som gjeldande versjon ikkje lenger tilbyr. Avviket viser seg berre når ei ny forhandling blir tvinga fram.

Skil eit legitimasjonsproblem frå ein utilgjengeleg motpart

Ei fornying som feilar på autentisering, ser lik ut i klienten og heilt annleis på tenaren. Om ein legitimasjon blir sjekka på nytt ved nyforhandlinga, vil eit utløpt sertifikat, ein tilbakekalla konto eller eit endra passord gi eit utfall nøyaktig i fornyingsintervallet, medan kvar tidlegare tilkopling lukkast. Ein utilgjengeleg motpart er den tredje moglegheita, og han gir inga avvising i det heile: pakkane går ut og ingenting svarar. Det tilfellet følgjer vanlegvis ei nettverksendring i staden for ein timer, så sjekk om feilen følgjer roaming, ein inaktiv periode eller ei ruteendring.

Skil dei tre etter kva den fjerne enden logga. Ei avvising med grunn, ein autentiseringsfeil og stille er tre ulike rettingar. Å starte klienten på nytt kollapsar dei til éin ubrukeleg observasjon.

Sjekk sertifikatdatoane og kontostatusen før du klandrar nettverket. Begge er billege å undersøkje, og begge er usynlege i meldinga til klienten sjølv.

Tving gjennom éi fornying og les resultatet

Tving gjennom éi fornying med den støtta metoden til operatøren i staden for å vente ein time på den neste. Hald den påkravde feilpolicyen intakt medan du gjer det. Å slå av verifisering eller strekkje levetider til ein dag får symptomet til å forsvinne frå loggane dine utan å rette noko. Det etterlèt òg eit lengre utfall som ventar på neste person.

Når rettinga er på plass, sjekk den fornya tunnelen og send deretter ein ny førespurnad frå applikasjonen. Ei applikasjonsøkt som levde då tilknytinga endra seg, kan trenge si eiga gjenoppretting sjølv om tunnelen er sunn igjen. Brukarar vil rapportere det som at VPN-en framleis er øydelagd.

Noter versjonsnummera, dei forhandla timerane og fasen som feila. Den neste førekomsten kan då samanliknast med denne i staden for å bli skildra på nytt frå minnet.