De ce VPN-ul tău cade de fiecare dată când cheile se rotesc

Conexiunea funcționează o oră și apoi moare, iar clientul nu raportează nimic mai util decât disconnected. Acea perioadă este indiciul, pentru că ceva din schimbul de reînnoire diferă de handshake-ul inițial. Cronometrul decide doar când îl întâlnești. Salvează mesajele din acel schimb în locul etichetei finale.

Citește etapa, nu eticheta

În IKEv2, asocierea IKE și asocierea CHILD sunt reînnoite după programe separate. O propunere acceptabilă pentru prima negociere nu este automat acceptabilă pentru a doua. Una poate fi finalizată în timp ce cealaltă este respinsă, ceea ce produce un tunel care există pe jumătate. Înregistrează schimbul cu instrumentul care îl deține, nu cu o linie din jurnalul clientului:

swanctl --list-sas
swanctl --log --level 2
ip xfrm state list

Pentru OpenVPN, evenimentul echivalent este o renegociere guvernată de versiune și de setările de implementare. Comportamentul său de autentificare are propriile moduri de eșec. Mesajul care contează numește etapa eșuată, iar tu ar trebui să îl notezi cuvânt cu cuvânt în loc să îl parafrazezi într-un tichet.

Notează și marcajele de timp. O cădere la un interval fix după ultima negociere reușită este o constatare foarte diferită de una care apare aleatoriu în timpul utilizării, iar intervalul este adesea singura dovadă care supraviețuiește.

Compară propunerea care eșuează

O propunere respinsă produce un mesaj clar la responden. Cauza obișnuită este o diferență între cele două capete în algoritm, lungimea cheii, grup sau durata de viață. Negocierea CHILD inițială poate a reușit pentru că a fost inițiată de cealaltă parte, ceea ce înseamnă că s-a folosit lista de propuneri a celeilalte părți. Privește ambele capete înainte de a schimba ceva.

Neconcordanțele de durată de viață merită o atenție specială, pentru că o valoare care părea generoasă la un capăt poate face celălalt capăt să înceapă o reînnoire pe care nu o poate finaliza. Documentația comportamentului la schimbarea cheilor descrie cum este declanșată reînnoirea asocierii și cum cele două capete pot diferi în așteptările lor de timp. Compară ce susține fiecare capăt în loc de ce sugerează fișierul de configurare.

Un profil vechi sau un șablon de furnizor poate fixa o propunere pe care versiunea actuală nu o mai oferă. Neconcordanța apare doar când este forțată o negociere nouă.

Separă o problemă de acreditări de un partener inaccesibil

O reînnoire care eșuează la autentificare arată similar în client și complet diferit pe server. Dacă o acreditare este reverificată la renegociere, un certificat expirat, un cont revocat sau o parolă schimbată vor produce o cădere exact la intervalul de reînnoire, în timp ce toate conexiunile anterioare au reușit. Un partener inaccesibil este a treia posibilitate și nu produce nicio respingere: pachetele pleacă și nimic nu răspunde. Acel caz urmează de obicei o schimbare de rețea în loc de un cronometru, așa că verifică dacă eșecul vine după un roaming, o perioadă inactivă sau o schimbare de rută.

Distinge cele trei după ce a înregistrat capătul îndepărtat. O respingere cu motiv, un eșec de autentificare și tăcerea sunt trei corecții diferite. Repornirea clientului le strivește într-o singură observație inutilă.

Verifică datele certificatului și starea contului înainte de a da vina pe rețea. Ambele sunt ieftin de inspectat și ambele sunt invizibile în mesajul clientului însuși.

Forțează o reînnoire și citește rezultatul

Forțează o reînnoire prin metoda susținută de operator în loc să aștepți o oră pentru următoarea. Păstrează intactă politica de eșec cerută în timp ce faci asta. Dezactivarea verificării sau întinderea duratelor la o zi face simptomul să dispară din jurnale fără a corecta nimic. Lasă și o întrerupere mai lungă în așteptare pentru următoarea persoană.

Odată ce corecția este la loc, verifică tunelul reînnoit și apoi trimite o cerere nouă din aplicație. O sesiune de aplicație care era vie când s-a schimbat asocierea poate avea nevoie de propria recuperare chiar dacă tunelul este din nou sănătos. Utilizatorii vor raporta asta ca un VPN încă stricat.

Notează versiunile lansării, cronometrele negociate și etapa care a eșuat. Următoarea recurență va putea fi atunci comparată cu aceasta în loc să fie descrisă din nou din memorie.