VPN sa odpája v rovnakom intervale? Zlaďte časovač
Odpojenie v pevnom intervale je odtlačok prsta. Pred akoukoľvek zmenou porovnajte obnovu kľúčov tunela, časovač nečinnosti NAT, prenájom DHCP a limit účtu.
Tunel, ktorý zomiera každých pätnásť minút alebo každú hodinu v tej istej minúte, vám hovorí, že vypršal nejaký časovač, nie že sieť je nestabilná. Užitočný krok je zapísať interval a porovnať ho so štyrmi časovačmi, ktoré vytvárajú tento vzor. Zmena časových limitov pred týmto porovnaním zvyčajne presunie poruchu bez toho, aby ju vysvetlila, čo robí ďalší výskyt ťažšie čitateľným ako prvý. Meranie zaberie desať minút a nahradí týždeň hádania.
Premeňte interval na číslo
Zozbierajte päť alebo šesť výskytov a vypočítajte medzeru medzi nimi, nie medzeru od začiatku dňa. Odpojenie o 09:12, 10:12 a 11:12 je hodinová hranica; odpojenie o 09:12, 09:27 a 09:42 je pätnásť minút od posledného úspešného pripojenia. Výsledok zaokrúhlite na najpravdepodobnejší časovač, nie na najbližšiu minútu.
Zaznamenajte dva momenty na udalosť: kedy sa naposledy pohol chod a kedy klient nahlásil odpojenie. Líšia sa, keď tunel zomrie potichu a klient si to všimne až pri ďalšom odoslaní, a práve tento rozdiel oddeľuje časový limit nečinnosti od tvrdej poruchy. Klient, ktorý si to všimne neskoro, nafúkne okno nečinnosti, ktoré meriate.
Všimnite si, či je opätovné pripojenie automatické. Klient, ktorý sa znova pripojí v priebehu sekúnd, drží interval viditeľný v logu a mimo používateľskej správy, a preto sa tieto poruchy často opisujú ako občasné, nie periodické. Tiež skrýva udalosť pred človekom, ktorý notebook používa.
Štyri časovače, ktoré vyzerajú rovnako
Takmer každý opakovaný pád tunela pochádza z jedného z týchto: obnova kľúčov protokolu, vypršanie nečinného mapovania, udalosť DHCP alebo rozhrania, alebo politika účtu. Líšia sa v tom, či prebiehala premávka, a v tom, čo log hovorí na hranici.
Nižšie uvedené podpisy sa oplatí naučiť, pretože vám umožňujú odmietnuť tri vysvetlenia z jediného riadku logu:
| Timer | Typical trigger | What the log shows at the boundary |
|---|---|---|
| Protocol rekey | Traffic present, fixed interval | Negotiation lines, sometimes a failure |
| NAT or firewall idle | No traffic for minutes | Silence, then a timeout on send |
| DHCP lease or link change | Half the lease, or a radio event | Address or interface churn |
| Account session limit | Wall-clock hours since login | Clean disconnect, server-side reason |
Prvý riadok je bezpečnostný mechanizmus, ktorý robí svoju prácu, a druhý je medziľahlé zariadenie, ktoré zabúda stav. Ich zámena vedie buď k oslabeniu obnovy, alebo k naháňaniu pravidla firewallu, ktoré nikdy nebolo zapojené.
Zaneprázdnený verzus nečinný vám povie, ktorá polovica
Urobte kontrolované porovnanie so súvislou premávkou, napríklad dlhým prúdom k hostiteľovi vnútri tunela, a sledujte, či sa interval mení. Ak odpojenie zmizne, kým dáta prúdia, časovač je založený na nečinnosti.
Ak prežije súvislú premávku, príčina patrí obnove, prenájmu alebo politike. Ten jediný test odstráni polovicu kandidátov za približne hodinu pozorovania a nestojí nič okrem pozornosti.
Počas testu udržujte prístupovú sieť nezmenenú. Prepínanie medzi Wi-Fi a Ethernetom uprostred porovnania vnáša presne tú udalosť rozhrania, ktorú sa snažíte odlíšiť od časovača.
Zlaďte riadok logu s hranicou
Čítajte klientske a serverové logy okolo zaznamenaného momentu, nie celý súbor. Obnova ukazuje vyjednávanie; vypršanie nečinnosti neukazuje nič až do ďalšieho paketu; zmena prenájmu ukazuje prácu s adresou; limit politiky zvyčajne ukazuje čisté administratívne odpojenie.
Tieto príkazy vytiahnu príslušné okno z každého zdroja:
grep -iE "reneg|TLS Error|Inactivity" /var/log/openvpn.log | tail -20
journalctl -u NetworkManager --since "-90 min" | grep -iE "dhcp|link"
wg showAk sa tri zdroje zhodujú na časovej značke, poznáte vlastníka časovača. Ak má niečo len klientsky log, server pravdepodobne nie je ten, kto ukončuje reláciu.
Opravte fázu, nie ikonu
Každý vlastník má jednu podporovanú opravu. Porucha obnovy vyžaduje kompatibilné návrhy na oboch koncoch. Vypršanie nečinnosti vyžaduje keepalive alebo kratšie očakávanie nečinnosti, v medziach toho, čo cesta dovoľuje. Udalosť prenájmu vyžaduje úpravu nastavení rozhrania alebo napájania. Limit účtu je rozhodnutie politiky, nie chyba.
Vypnutie obnovy alebo overovania, aby ikona zostala zelená, vymieňa viditeľné odpojenie za neviditeľnú slabosť a necháva vás bez možnosti povedať, kedy tunel naposledy vyjednal nové kľúče. Potom znova otestujte pôvodnú dĺžku trvania a uchovajte časové značky, aby sa ďalšia udalosť dala porovnať s touto namiesto začínania odznova.