De ce vpnc se deconectează după 24 de minute și ce trebuie schimbat

Tunelul tău moare la un interval repetabil, iar asta este un temporizator care se raportează singur, nu un cablu defect. Douăzeci și patru de minute înseamnă 1440 de secunde, genul de valoare rotundă pe care o poartă un profil sau o politică a capătului principal. Apoi aceeași configurație eșuează împotriva aceluiași concentrator de fiecare dată, în timp ce orice altă rețea funcționează, iar niciun test de legătură nu schimbă asta.

Trei condiții decid care temporizator este al tău: dacă clientul renunță la o sesiune inactivă, dacă schimbul de reînnoire a cheilor este refuzat și dacă o poartă de traducere a rescris încapsularea.

Care temporizator deține căderea

Măsoară intervalul pe parcursul a cel puțin trei reconectări înainte de a atinge o setare. O împrăștiere de câteva secunde indică pierderea legăturii sau roaming wireless; o valoare care ajunge de fiecare dată în câteva secunde de aceeași marcă indică o valoare de politică. Durata sesiunii spune și cine a încheiat-o, pentru că un timeout pe partea clientului și o ștergere pe partea serverului lasă linii finale diferite în ieșirea de depanare. Trei reconectări arată și dacă intervalul derivează deloc, ceea ce o singură măsurătoare nu poate arăta.

Notează numărul lângă capătul principal cu care vorbeai. Odată ce intervalul este stabil, munca rămasă este alegerea între trei cauze, iar o singură setare schimbată la fiecare reconectare este ceea ce le menține distincte.

Cazul unu: clientul renunță la o sesiune inactivă

vpnc rulează propria verificare de partener mort, iar acea verificare poate ucide o sesiune pe care concentratorul încă o crede vie, mai ales când între cele două se află o poartă de traducere. Remediul pe partea clientului din documentație este să oprești temporizatorul local și să lași capătul principal să decidă când un partener a dispărut. Ambele linii de mai jos aparțin profilului vpnc sau liniei de comandă, iar ambele sunt independente de setările de criptare.

DPD idle timeout (our side) 0
NAT Traversal Mode cisco-udp

Dezactivarea DPD a clientului elimină un fals pozitiv și elimină și singura detecție locală, așa că aplică-l singur și urmărește dacă intervalul se schimbă deloc.

Cazul doi: reînnoirea cheilor este refuzată

Dacă intervalul supraviețuiește schimbării DPD, reînnoirea cheilor din faza 1 devine candidata. Versiunile mai vechi de vpnc tratau reînnoirea cu mai puțină grijă decât cele actuale, iar grupul Diffie-Hellman este neînțelegerea obișnuită. Forțarea unui grup pe care capătul principal îl acceptă deja costă o linie și o reconectare, ceea ce îl face un experiment ieftin, nu o schimbare de politică.

IKE DH Group dh5

Numele de grup valide sunt dh1, dh2 și dh5. Un grup pe care concentratorul îl refuză produce o eșuare imediată, iar asta este tot informație: îți spune că capătul principal este pretențios și că grupul original era probabil corect.

Cazul trei: traducerea rescrie încapsularea

În spatele unei porți de traducere, încapsularea UDP a Cisco și modul bazat pe standarde nu sunt interschimbabile. Alegerea greșită produce adesea un tunel care se stabilește, lasă traficul să treacă și apoi expiră sub sarcină, ceea ce se citește ca o problemă de lățime de bandă și nu este. Schimbă doar modul, apoi reconectează și cronometrează din nou căderea. Încearcă celălalt mod doar după ce primele două cazuri sunt excluse.

Interfețele adaugă aici propria confuzie. NetworkManager nu va oferi un tip de conexiune vpnc până când pachetul pluginului nu este instalat, iar un plugin lipsă apare ca un buton Adaugă gri în loc de eroare. Interfața KDE păstrează aceleași valori într-un profil propriu, așa că verifică dacă daemonul citește ce ai editat.

Un profil care se conectează bine din linia de comandă dar nu de pe desktop este o problemă de interfață, nu o problemă de temporizator.

Verifică schimbul care eșuează înainte de a treia schimbare

Rulează clientul cu ieșire de depanare și citește ultimul schimb înainte de cădere. O ștergere a fazei 1 imediat înainte de deconectare înseamnă că clientul a reînnoit cheile și a fost refuzat. O ștergere a fazei 2 în același punct înseamnă că tunelul a fost demontat din cealaltă parte, iar setările clientului tău nu sunt cauza.

vpnc --debug 3 office

Verifică și un al doilea daemon de rețea când tunelul supraviețuiește dar traficul se oprește. Doi manageri care scriu tabela de rutare produc același simptom de pe desktop și un jurnal complet diferit.