Zašto vam VPN pada svaki put kad se ključevi rotiraju

Veza radi sat vremena i zatim umre, a klijent ne prijavljuje ništa korisnije od disconnected. Taj period je trag, jer nešto u razmjeni obnove razlikuje se od početnog rukovanja. Tajmer samo odlučuje kada ćete ga sresti. Sačuvajte poruke te razmjene umjesto konačne oznake.

Čitajte fazu, a ne oznaku

U IKEv2 se IKE asocijacija i CHILD asocijacija obnavljaju po odvojenim rasporedima. Prijedlog koji je bio prihvatljiv za prvo pregovaranje nije automatski prihvatljiv za drugo. Jedna može završiti dok se druga odbija, što stvara tunel koji napola postoji. Zabilježite razmjenu alatom koji njome upravlja, a ne linijom klijentskog zapisa:

swanctl --list-sas
swanctl --log --level 2
ip xfrm state list

Za OpenVPN ekvivalentan događaj je ponovno pregovaranje kojim upravljaju verzija i postavke postavljanja. Njegovo ponašanje autentifikacije ima vlastite načine neuspjeha. Poruka koja je važna imenuje neuspjelu fazu, a vi je treba da zabilježite doslovno umjesto da je prepričate u tiket.

Zapišite i vremenske oznake. Pad u fiksnom intervalu nakon posljednjeg uspješnog pregovaranja sasvim je drugačiji nalaz od onog koji dolazi slučajno tokom korištenja, a interval je često jedini dokaz koji preživi.

Uporedite prijedlog koji pada

Odbijen prijedlog proizvodi jasnu poruku na odgovaraču. Uobičajen uzrok je razlika između dva kraja u algoritmu, dužini ključa, grupi ili trajanju. Početno CHILD pregovaranje je možda uspjelo jer ga je pokrenula druga strana, što znači da je koristilo listu prijedloga druge strane. Pogledajte oba kraja prije nego što bilo šta promijenite.

Neusklađenosti trajanja zaslužuju posebnu pažnju, jer vrijednost koja je izgledala darežljivo na jednom kraju može natjerati drugi kraj da započne obnovu koju ne može dovršiti. Dokumentacija o ponašanju pri promjeni ključa opisuje kako se pokreće obnova asocijacije i kako se dva kraja mogu razlikovati u očekivanjima vremena. Uporedite šta svaki kraj tvrdi da podržava, a ne šta predlaže konfiguracijska datoteka.

Stari profil ili šablon provajdera može prikvačiti prijedlog koji trenutno izdanje više ne nudi. Neusklađenost se pojavljuje samo kada se prisilno izvede novo pregovaranje.

Odvojite problem vjerodajnica od nedostupnog partnera

Obnova koja ne uspije autentifikaciju izgleda slično u klijentu i potpuno drugačije na serveru. Ako se vjerodajnice ponovo provjeravaju pri ponovnom pregovaranju, istekao certifikat, opozvan račun ili promijenjena lozinka proizvest će pad tačno u intervalu obnove, dok je svaka ranija veza uspjela. Nedostupan partner je treća mogućnost i ne proizvodi nikakvo odbijanje: paketi odlaze i ništa ne odgovara. Taj slučaj obično prati promjenu mreže, a ne tajmer, pa provjerite da li kvar slijedi roaming, period mirovanja ili promjenu rute.

Razlikujte tri slučaja po onome što je zabilježio udaljeni kraj. Odbijanje s razlogom, neuspjeh autentifikacije i tišina tri su različite ispravke. Ponovno pokretanje klijenta ih spaja u jedno nekorisno zapažanje.

Provjerite datume certifikata i stanje računa prije nego što okrivite mrežu. Oboje je jeftino za provjeru i oboje je nevidljivo u klijentovoj vlastitoj poruci.

Prisilite jednu obnovu i pročitajte rezultat

Prisilite jednu obnovu kroz operaterom podržanu metodu umjesto da čekate sat vremena na sljedeću. Održite potrebnu politiku neuspjeha netaknutom dok to radite. Isključivanje provjere ili rastezanje trajanja na dan čini da simptom nestane iz vaših zapisa bez ispravljanja ičega. To također ostavlja duži prekid za sljedeću osobu.

Kada ispravka bude na mjestu, provjerite obnovljeni tunel i zatim uputite novi zahtjev iz aplikacije. Aplikacijska sesija koja je bila živa kada se asocijacija promijenila može trebati vlastiti oporavak, iako je tunel ponovo zdrav. Korisnici će to prijaviti kao VPN koji je još uvijek pokvaren.

Zabilježite verzije izdanja, ugovorene tajmere i fazu koja je pala. Sljedeće ponavljanje se tada može uporediti s ovim umjesto da se ponovo opisuje po sjećanju.