Prečo sa vpnc odpojí po 24 minútach a čo zmeniť

Váš tunel umiera v opakujúcom sa intervale, a to sa hlási časovač, nie zlý kábel. Dvadsaťštyri minút je 1440 sekúnd, druh okrúhlej hodnoty, ktorú nesie profil alebo politika centrálneho uzla. Potom tá istá konfigurácia zakaždým zlyhá proti tomu istému koncentrátoru, kým každá iná sieť funguje, a žiadne testovanie spoja to nezmení.

Tri podmienky rozhodujú, ktorý časovač je váš: či klient opúšťa nečinnú reláciu, či je výmena obnovy kľúčov odmietnutá a či prekladajúca brána prepísala zapuzdrenie.

Ktorý časovač vlastní odpojenie

Zmerajte interval počas aspoň troch opakovaných pripojení, než sa dotknete nastavenia. Rozptyl niekoľkých sekúnd ukazuje na stratu spoja alebo bezdrôtový roaming; hodnota, ktorá zakaždým spadne do niekoľkých sekúnd od tej istej značky, ukazuje na hodnotu politiky. Dĺžka relácie tiež hovorí, kto ju ukončil, pretože časový limit na strane klienta a vymazanie na strane servera zanechávajú v ladiacom výstupe rôzne posledné riadky. Tri opakované pripojenia tiež odhalia, či sa interval vôbec posúva, čo jedno meranie ukázať nedokáže.

Zapíšte si číslo vedľa centrálneho uzla, s ktorým ste hovorili. Keď je interval stabilný, zostáva výber medzi tromi príčinami, a práve jedno zmenené nastavenie na pripojenie ich udržiava rozlíšiteľné.

Prvý prípad: klient opúšťa nečinnú reláciu

vpnc spúšťa vlastnú kontrolu mŕtveho partnera a táto kontrola môže zabiť reláciu, ktorú koncentrátor ešte považuje za živú, najmä keď medzi nimi stojí prekladajúca brána. Klientskym riešením v dokumentácii je vypnúť časovač lokálne a nechať centrálny uzol rozhodnúť, kedy partner zmizol. Oba riadky nižšie patria do profilu vpnc alebo na príkazový riadok a oba sú nezávislé od nastavení šifrovania.

DPD idle timeout (our side) 0
NAT Traversal Mode cisco-udp

Vypnutie klientského DPD odstráni falošný poplach a zároveň odstráni vaše jediné lokálne zistenie, preto ho použite samostatne a sledujte, či sa interval vôbec zmení.

Druhý prípad: obnova kľúčov je odmietnutá

Ak interval prežije zmenu DPD, kandidátom sa stane obnova kľúčov fázy 1. Staršie zostavenia vpnc zvládali obnovu menej starostlivo ako súčasné a obvyklou nezhodou je skupina Diffie-Hellman. Vynútenie skupiny, ktorú centrálny uzol už prijíma, stojí jeden riadok a jedno pripojenie, čo z neho robí lacný experiment, nie zmenu politiky.

IKE DH Group dh5

Platné názvy skupín sú dh1, dh2 a dh5. Skupina, ktorú koncentrátor odmietne, spôsobí okamžité zlyhanie, a to je stále informácia: hovorí vám, že centrálny uzol je vyberavý a že pôvodná skupina bola pravdepodobne správna.

Tretí prípad: preklad prepisuje zapuzdrenie

Za prekladajúcou bránou nie sú UDP zapuzdrenie Cisco a režim založený na štandardoch zameniteľné. Nesprávna voľba často vytvorí tunel, ktorý sa nadviaže, prepustí prevádzku a potom pod záťažou vyprší, čo sa číta ako problém šírky pásma a nie je. Zmeňte iba režim, potom sa pripojte znova a znova zmerajte odpojenie. Druhý režim skúste až po vylúčení prvých dvoch prípadov.

Frontendy tu pridávajú vlastný zmätok. NetworkManager neponúkne typ pripojenia vpnc, kým nie je nainštalovaný balík pluginu, a chýbajúci plugin sa prejaví ako zosivované tlačidlo Pridať, nie ako chyba. Frontend KDE drží rovnaké hodnoty vo vlastnom profile, preto overte, že démon číta to, čo ste upravili.

Profil, ktorý sa z príkazového riadka pripojí dobre, ale z pracovnej plochy nie, je problém frontendu, nie časovača.

Overte výmenu, ktorá zlyhá, pred treťou zmenou

Spustite klienta s ladiacim výstupom a prečítajte si poslednú výmenu pred odpojením. Vymazanie fázy 1 tesne pred odpojením znamená, že klient obnovil kľúče a bol odmietnutý. Vymazanie fázy 2 na tom istom mieste znamená, že tunel bol zbúraný z druhej strany a nastavenia klienta nie sú príčinou.

vpnc --debug 3 office

Skontrolujte aj druhého sieťového démona, keď tunel prežije, ale prevádzka sa zastaví. Dvaja správcovia zapisujúci smerovaciu tabuľku dávajú z pracovnej plochy rovnaký príznak a úplne iný záznam.