Skrátenie časovača DPD nezrýchli prepnutie VPN

Tunely padajú, obnova trvá deväťdesiat sekúnd a časovač mŕtveho partnera je nastavený na desať, takže sa obviňuje časovač. Táto úvaha preskakuje tri fázy, ktoré nastanú po detekcii a zvyčajne zaberú väčšinu času. Detekcia životnosti si všimne ticha; potom výber partnera, autentifikácia, inštalácia trasy a opätovné pripojenie aplikácie si vezmú každý svoj diel. Skrátenie prvej fázy nemôže skrátiť ostatné a môže pridať zmätok systému, ktorý už mal problém.

Štyri fázy, jednu z nich môžete zmerať

Zapíšte obnovu ako štyri udalosti s časovými značkami. Zlyhanie sa stane pozorovateľným: posledná užitočná chránená prevádzka a prvá neúspešná požiadavka. Zodpovedný mechanizmus reaguje: detekcia životnosti, monitor trasy alebo iný zdokumentovaný spúšťač. Alternatíva sa stane použiteľnou: výber partnera, autentifikácia, nová asociácia a trasa, ktorá skutočne nesie zamýšľanú prevádzku. Aplikácia sa obnoví: nová operácia uspeje a to, čo bolo v behu, má definovaný výsledok.

Pravidlá životnosti IKEv2 opisujú dôkazy o partnerovi a jeho výmenách a nehovoria nič o databáze alebo súborovej službe za týmto partnerom. Čítať vypršanie životnosti ako kontrolu stavu celej cesty je chyba, ktorá začína hon na časovač.

Prečo je časovač najmenej zaujímavé číslo

Nakonfigurované hodnoty nie sú zameniteľné jednotky. Niektoré sú intervaly opakovania, niektoré horné hranice pokusu a niektoré bežia súbežne s inými. Ich sčítaním vznikne číslo, ktoré vyzerá ako predpoveď a správa sa ako fáma. Prečítajte si dokumentáciu k poľu, ktorého sa chystáte dotknúť, a všimnite si, ktorý z troch druhov to je.

Iné fázy vôbec nie sú časovače. Oneskorenie opätovného pripojenia, interaktívna výzva na autentifikáciu alebo klient, ktorý svoju konfiguráciu prehodnocuje len pri reštarte, môžu každý dominovať výpadku, kým každý protokolový časovač zostáva pohodlne nízko.

Zmerajte fázu, ktorá je naozaj pomalá

Zachyťte zlyhanie raz, s časovými značkami na oboch stranách, a potom porovnajte štyri udalosti namiesto vlastných počítadiel protokolu. Jedno správne vykonané pozorovacie okno je lepšie ako mesiac ladenia.

ip -4 route get 203.0.113.10
tcpdump -ni any -c 20 "esp or icmp"

Ak alternatívny koncový bod nikdy neodpovie, žiadna zmena časovača nepomôže, pretože nedostupnosť nie je problém detekcie. Ak sa nový bezpečnostný stav vytvorí rýchlo, ale trasa stále ukazuje na mŕtvu cestu, problém je v inštalácii trasy a ďalšia úprava životnosti len pridá zmätok.

Alternatíva musí byť už použiteľná

Záloha definovaná v konfigurácii nie je záloha, ktorá funguje. Musí byť dostupná z aktuálnej siete klienta, schopná autentifikovať rovnakú identitu a mať povolenie niesť rovnakú prevádzku podľa rovnakej politiky. Ak počas výpadku objavíte ktorúkoľvek z týchto troch medzier, diskusia o časovači sa stane irelevantnou. Testujte alternatívu, kým je primárna v poriadku, pretože to je jediný čas, keď môžete čítať oba záznamy vedľa seba.

Pripravte alternatívu vopred, zámerne ju otestujte, kým je primárna v poriadku, a zaznamenajte, ktorá zo štyroch fáz zaberá čas. Práve tento záznam robí z ďalšej zmeny meranie namiesto dohadu.

Zmätok pri návrate a riadiaca cesta

Obnovenie primárnej je samostatné rozhodnutie. Agresívny návrat môže prerušiť prácu, ktorá sa už obnovila na zálohe, a nestabilná cesta môže vyzerať ako nestabilný tunel, keď je skutočná porucha trasa, ktorá neustále osciluje medzi dvoma rovnocennými možnosťami.

Dve rovnocenné cesty bez preferencie sú obvyklým zdrojom viditeľného kmitania, pretože každý monitor reaguje na voľbu toho druhého. Rozhodnite, ktorá cesta je za normálnych podmienok preferovaná, a túto preferenciu urobte v konfigurácii explicitnou, namiesto toho, aby ste ju nechali na poradie trás. Vopred definujte požadované správanie pri návrate a kto ho vlastní. Zachovajte predchádzajúce nastavenia a nezávislú riadiacu cestu, pretože zmena, ktorá vám počas výpadku odoberie vlastný prístup, mení sieťový incident na návštevu na mieste.

Potom zopakujte rovnakú záťaž a porovnajte rovnaké štyri časové značky. Kratšia obnova, ktorá aplikáciu stále necháva čakať na tú istú chýbajúcu trasu alebo prihlásenie, nie je pokrok, je to iné číslo na tom istom grafe.