Prečo tunel Azure OpenVPN padá približne každých šesťdesiat sekúnd

Tunel dokončí handshake, prenáša prevádzku asi minútu a potom sa znova pripojí. Táto postupnosť vylučuje obvyklého podozrivého, pretože firewall blokujúci port by zastavil handshake, nie reláciu. To, čo máte, je nezhoda o životnosti: jedna strana rozhodla, že druhá stíchla, a zrútila funkčný tunel. Riadok v logu hovorí ktorá strana, a ten volí opravu.

Prečítajte si ten riadok skôr, než sa dotknete akéhokoľvek časovača.

Mýtus: niečo na ceste blokuje tunel

Keby bol port zablokovaný, spojenie by zlyhalo hneď na začiatku a zostalo by zlyhané. Opakujúci sa cyklus znamená, že riadiace správy prúdia, relácie sa nadväzujú a niečo neskôr v rozhovore neustále vyprší. Blokovanie vytvára ticho, a toto vytvára rytmus.

Rytmus je užitočná stopa. Vytvárajú ho časovače; strata paketov len zriedka.

Prečítajte si dôvod odpojenia pred časovačom

OpenVPN pomenúva svoj dôvod a každé meno ukazuje na iný podsystém. Session invalidated: KEEPALIVE_TIMEOUT je vypršanie časovača, preto porovnajte hodnoty ping a ping-restart na oboch stranách. AUTH_FAILED sú prihlasovacie údaje alebo stav certifikátu, a žiadna zmena časovača nepomôže. Chyba TLS znamená, že strany vôbec nedosiahli fázu keepalive.

Zaznamenajte čas pripojenia, čas odpojenia a či je interval stabilný na sekundu. To jedno meranie oddeľuje nakonfigurovaný plán od náhody.

Stabilný interval je časovač. Ten, ktorý sa posúva, je skôr problém cesty alebo presunutá relácia.

Dva časovače keepalive, ktoré sa nikdy nedohodli

Profily exportované z portálu niekedy stále nesú riadky ako keepalive alebo ping-restart skopírované zo šablóny komunitného servera. Brána vykonáva vlastnú detekciu mŕtveho partnera a presadzuje vlastné očakávania a oba plány sa nemusia zhodovať. Keď sa rozchádzajú, klient sa restartuje podľa plánu, s ktorým brána nikdy nesúhlasila.

Tieto dve hodnoty nie sú rovnaké riadenie. ping je, ako často klient posiela ozvenu, a ping-restart je, ako dlho čaká bez toho, aby niečo počul, kým tunel zrúti. Profil s krátkym ping-restart a brána, ktorá odpovedá pomaly, sa budú reštartovať v každom tichom období, čo je presne podoba jednominútového cyklu.

Najmenšia zmena na strane klienta je neutralizovať časovače na najvyššej úrovni profilu, mimo každého vloženého bloku:

keepalive 0 0

Uložte, znova načítajte profil, znova sa pripojte. Relácia už v pamäti si zachováva staré hodnoty, a preto úprava niekedy vyzerá, akoby nič neurobila.

Názov certifikátu sa vám môže posunúť pod nohami

Overovanie certifikátom Azure závisí od toho, či klient dôveruje názvu, ktorý brána dnes predkladá. Riadok verify-x509-name v staršom stiahnutí môže pripnúť názov, ktorý prestavba brány alebo obnova certifikátu odvtedy zmenili, a nesúlad sa prejaví ako slučka opakovaného pripájania, nie ako jasná chyba. Odstránenie riadku obnoví konektivitu, čo z neho robí dobrú diagnostiku a zlú trvalú opravu, pretože odstráni aj overovanie. Keď tunel vydrží, obnovte riadok s názvom, ktorý brána skutočne predkladá.

Otestujte druhú generáciu klienta na tom istom počítači skôr, než začnete bránu upravovať. Ak jeden klient cykluje a druhý drží, problém nie je v profile.

Čo zmeniť a v akom poradí

Ďalej skontrolujte presunutú reláciu. Dve zariadenia zdieľajúce jeden certifikát sa môžu navzájom vytlačiť a výsledok vyzerá periodicky, pretože obe strany sa stále znova pripájajú. Porovnajte záznamy relácií typu bod-lokalita pre rovnakú identitu, ktorá sa objavuje znova a znova.

Potom otestujte nečinnú cestu spustením nepretržitej prevádzky na niekoľko minút. Ak výpadky prestanú, kým prevádzka tečie, dôležitý časovač patrí zariadeniu NAT alebo vyvažovaču záťaže na ceste, nie OpenVPN.

Nastavenia brány by sa mali meniť až po týchto štyroch testoch.