Zašto tunel Azure OpenVPN pada otprilike svakih šezdeset sekundi

Tunel završi rukovanje, prenosi promet oko minute, a zatim se ponovno povezuje. Taj slijed isključuje uobičajenog osumnjičenika, jer bi vatrozid koji blokira port zaustavio rukovanje, a ne sesiju. Ono što imate je neslaganje o živosti: jedna je strana odlučila da je druga utihnula i srušila ispravan tunel. Linija u dnevniku kaže koja strana, i ona bira popravak.

Pročitajte tu liniju prije nego što dotaknete bilo koji timer.

Mit: nešto na putu blokira tunel

Da je port blokiran, veza bi propala na početku i ostala propala. Ciklus koji se ponavlja znači da kontrolne poruke teku, sesije se uspostavljaju, a nešto kasnije u razgovoru stalno istječe. Blokiranje stvara tišinu, a ovo stvara ritam.

Ritam je koristan trag. Timeri ga stvaraju; gubitak paketa rijetko.

Pročitajte razlog prekida prije timera

OpenVPN imenuje svoj razlog, a svako ime upućuje na drugi podsustav. Session invalidated: KEEPALIVE_TIMEOUT je timer koji istječe, pa usporedite vrijednosti ping i ping-restart na oba kraja. AUTH_FAILED su vjerodajnice ili stanje certifikata, i nikakva promjena timera neće pomoći. TLS greška znači da strane uopće nisu stigle do faze keepalive.

Zabilježite vrijeme povezivanja, vrijeme prekida i je li interval stabilan do sekunde. To jedno mjerenje odvaja konfigurirani raspored od slučajnosti.

Stabilan interval je timer. Onaj koji pluta vjerojatnije je problem puta ili pomaknuta sesija.

Dva keepalive timera koja se nikad nisu složila

Profili izvezeni s portala ponekad još nose keepalive ili ping-restart linije kopirane s predloška zajedničkog poslužitelja. Gateway vodi vlastito otkrivanje mrtvog partnera i nameće vlastita očekivanja, a dva se rasporeda ne moraju poklapati. Kada se razilaze, klijent se restartira prema rasporedu s kojim se gateway nikad nije složio.

Dvije vrijednosti nisu ista kontrola. ping je koliko često klijent šalje eho, a ping-restart je koliko dugo čeka bez ičega što čuje prije nego što sruši tunel. Profil s kratkim ping-restart i gateway koji odgovara sporo restartirat će se u svakom tihom razdoblju, što je točno oblik jednominutnog ciklusa.

Najmanja promjena na strani klijenta je neutralizirati timere na najvišoj razini profila, izvan svakog ugrađenog bloka:

keepalive 0 0

Spremite, ponovno učitajte profil, ponovno se povežite. Sesija koja je već u memoriji zadržava stare vrijednosti, zato izmjena ponekad izgleda kao da nije učinila ništa.

Ime certifikata može se pomaknuti pod vama

Azure autentifikacija certifikatom ovisi o tome vjeruje li klijent imenu koje gateway danas predstavlja. verify-x509-name linija u starijem preuzimanju može prikvačiti ime koje su ponovna izgradnja gatewaya ili obnova certifikata od tada promijenili, a nesklad se pojavljuje kao petlja ponovnog povezivanja, a ne kao jasna greška. Brisanje linije vraća povezanost, što je čini dobrom dijagnostikom i lošim trajnim popravkom, jer uklanja i provjeru. Kada se tunel zadrži, vratite liniju s imenom koje gateway doista predstavlja.

Testirajte drugu generaciju klijenta na istom računalu prije uređivanja gatewaya. Ako jedan klijent kruži a drugi se drži, problem nije u profilu.

Što promijeniti i kojim redom

Zatim provjerite pomaknutu sesiju. Dva uređaja koja dijele jedan certifikat mogu se međusobno istisnuti, a rezultat izgleda periodično jer obje strane nastavljaju se ponovno povezivati. Usporedite zapise sesija od točke do lokacije za isti identitet koji se pojavljuje iznova i iznova.

Zatim testirajte mirovanje puta puštajući neprekinuti promet nekoliko minuta. Ako padovi prestanu dok promet teče, važni timer pripada NAT uređaju ili balanseru opterećenja na putu, a ne OpenVPN-u.

Postavke gatewaya treba mijenjati tek nakon ta četiri testa.