Dlaczego vpnc rozłącza po 24 minutach i co zmienić

Twój tunel umiera w powtarzalnym interwale, a to timer, który sam się zgłasza, nie zły kabel. Dwadzieścia cztery minuty to 1440 sekund, okrągła wartość, jaką niesie profil lub polityka centralnego węzła. Potem ta sama konfiguracja za każdym razem zawodzi wobec tego samego koncentratora, podczas gdy każda inna sieć działa, i żadne testowanie łącza tego nie zmienia.

Trzy warunki decydują, który timer jest twój: czy klient porzuca bezczynną sesję, czy wymiana odświeżania kluczy jest odrzucana i czy brama tłumacząca przepisała enkapsulację.

Który timer rządzi rozłączeniem

Zmierz interwał podczas co najmniej trzech ponownych połączeń, zanim dotkniesz ustawienia. Rozrzut kilku sekund wskazuje na utratę łącza lub roaming bezprzewodowy; wartość, która za każdym razem trafia w kilka sekund od tego samego znacznika, wskazuje na wartość polityki. Długość sesji mówi też, kto ją zakończył, bo limit czasu po stronie klienta i usunięcie po stronie serwera zostawiają różne ostatnie wiersze w wyniku debugowania. Trzy ponowne połączenia ujawniają też, czy interwał w ogóle dryfuje, czego jedno pomiar nie może pokazać.

Zapisz liczbę obok centralnego węzła, z którym rozmawiałeś. Gdy interwał jest stabilny, pozostaje wybór między trzema przyczynami, a jedna zmieniona wartość na każde połączenie utrzymuje je rozróżnialne.

Przypadek pierwszy: klient porzuca bezczynną sesję

vpnc uruchamia własne sprawdzanie martwego partnera, a to sprawdzanie może zabić sesję, którą koncentrator wciąż uważa za żywą, zwłaszcza gdy między nimi stoi brama tłumacząca. Rozwiązaniem po stronie klienta w dokumentacji jest wyłączenie timera lokalnie i pozostawienie centralnemu węzłowi decyzji, kiedy partner zniknął. Obie linie poniżej należą do profilu vpnc lub do wiersza poleceń, a obie są niezależne od ustawień szyfrowania.

DPD idle timeout (our side) 0
NAT Traversal Mode cisco-udp

Wyłączenie DPD klienta usuwa fałszywy alarm, a także usuwa twoje jedyne lokalne wykrywanie, więc zastosuj je osobno i obserwuj, czy interwał w ogóle się zmienia.

Przypadek drugi: odświeżanie kluczy jest odrzucane

Jeśli interwał przetrwa zmianę DPD, kandydatem staje się odświeżanie kluczy fazy 1. Starsze kompilacje vpnc traktowały odświeżanie mniej starannie niż obecne, a zwykłą niezgodnością jest grupa Diffie-Hellman. Wymuszenie grupy, którą centralny węzeł już akceptuje, kosztuje jedną linię i jedno ponowne połączenie, co czyni to tanim eksperymentem, a nie zmianą polityki.

IKE DH Group dh5

Prawidłowe nazwy grup to dh1, dh2 i dh5. Grupa odrzucona przez koncentrator daje natychmiastową porażkę, a to nadal informacja: mówi, że centralny węzeł jest wybredny i że pierwotna grupa była prawdopodobnie właściwa.

Przypadek trzeci: tłumaczenie przepisuje enkapsulację

Za bramą tłumaczącą enkapsulacja UDP Cisco i tryb oparty na standardach nie są wymienne. Błędny wybór często daje tunel, który się zestawia, przepuszcza ruch, a potem wygasa pod obciążeniem, co czyta się jak problem z przepustowością i nim nie jest. Zmień tylko tryb, potem połącz się ponownie i zmierz rozłączenie jeszcze raz. Wypróbuj drugi tryb dopiero po wykluczeniu dwóch pierwszych przypadków.

Interfejsy dodają tu własnego zamieszania. NetworkManager nie zaproponuje typu połączenia vpnc, dopóki pakiet wtyczki nie zostanie zainstalowany, a brakująca wtyczka pojawia się jako wyszarzony przycisk Dodaj, a nie błąd. Interfejs KDE trzyma te same wartości we własnym profilu, więc potwierdź, że demon czyta to, co edytowałeś.

Profil, który dobrze łączy z wiersza poleceń, ale nie z pulpitu, to problem interfejsu, a nie timera.

Sprawdź wymianę, która zawodzi, przed trzecią zmianą

Uruchom klienta z wynikiem debugowania i przeczytaj ostatnią wymianę przed rozłączeniem. Usunięcie fazy 1 tuż przed rozłączeniem oznacza, że klient odświeżył klucze i został odrzucony. Usunięcie fazy 2 w tym samym miejscu oznacza, że tunel został rozebrany z drugiej strony, a twoje ustawienia klienta nie są przyczyną.

vpnc --debug 3 office

Sprawdź także drugi demon sieciowy, gdy tunel przetrwa, ale ruch się zatrzyma. Dwaj menedżerowie zapisujący tabelę routingu dają ten sam objaw z pulpitu i zupełnie inny dziennik.