Prečo vám VPN padá zakaždým, keď sa obmenia kľúče

Spojenie funguje hodinu a potom zomrie a klient nehlási nič užitočnejšie ako disconnected. Práve to obdobie je stopa, pretože niečo na výmene obnovy sa líši od úvodného handshake. Časovač len rozhoduje, kedy sa s tým stretnete. Uložte správy z tej výmeny namiesto konečného štítku.

Čítajte fázu, nie štítok

V IKEv2 sa asociácia IKE a asociácia CHILD obnovujú podľa oddelených rozvrhov. Návrh, ktorý bol prijateľný pre prvé vyjednávanie, nie je automaticky prijateľný pre druhé. Jedna môže dokončiť, kým druhá je odmietnutá, čo vytvára tunel, ktorý existuje na polovicu. Zachyťte výmenu nástrojom, ktorý ju vlastní, nie riadkom klientskeho logu:

swanctl --list-sas
swanctl --log --level 2
ip xfrm state list

Pri OpenVPN je ekvivalentnou udalosťou renegociácia riadená verziou a nastaveniami nasadenia. Jeho správanie pri autentifikácii má vlastné režimy zlyhania. Správa, na ktorej záleží, pomenúva zlyhanú fázu a vy ju máte zaznamenať doslovne, namiesto preformulovania do tiketu.

Zapíšte si aj časové značky. Výpadok v pevnom intervale po poslednom úspešnom vyjednávaní je veľmi odlišné zistenie než ten, ktorý príde náhodne počas používania, a interval je často jediný dôkaz, ktorý prežije.

Porovnajte návrh, ktorý zlyháva

Odmietnutý návrh vytvára jasnú správu na respondéri. Zvyčajnou príčinou je rozdiel medzi oboma koncami v algoritme, dĺžke kľúča, skupine alebo životnosti. Prvé vyjednávanie CHILD mohlo uspieť, pretože ho začala druhá strana, čo znamená, že sa použil zoznam návrhov druhej strany. Pozrite sa na oba konce, kým niečo zmeníte.

Nezhody v životnosti si zaslúžia osobitnú pozornosť, pretože hodnota, ktorá na jednom konci vyzerala veľkoryso, môže prinútiť druhý koniec začať obnovu, ktorú nedokáže dokončiť. Dokumentácia správania pri obnove kľúčov opisuje, ako sa obnova asociácie spúšťa a ako sa oba konce môžu líšiť vo svojich časových očakávaniach. Porovnajte, čo každý koniec tvrdí, že podporuje, namiesto toho, čo naznačuje konfiguračný súbor.

Starý profil alebo šablóna poskytovateľa môže pripnutúť návrh, ktorý aktuálne vydanie už neponúka. Nezhoda sa prejaví, len keď je vynútené nové vyjednávanie.

Oddeľte problém s prihlasovacími údajmi od nedostupného partnera

Obnova, ktorá zlyhá na autentifikácii, vyzerá v klientovi podobne a na serveri úplne inak. Ak sa prihlasovací údaj pri renegociácii znova kontroluje, exspirovaný certifikát, zrušený účet alebo zmenené heslo vytvoria výpadok presne v intervale obnovy, kým všetky predchádzajúce spojenia uspeli. Nedostupný partner je treťou možnosťou a nevytvára žiadne odmietnutie: pakety odchádzajú a nič neodpovedá. Ten prípad zvyčajne nasleduje zmenu siete, nie časovač, preto skontrolujte, či zlyhanie prichádza po roamingu, období nečinnosti alebo zmene trasy.

Rozlíšte tri podľa toho, čo zaznamenal vzdialený koniec. Odmietnutie s dôvodom, zlyhanie autentifikácie a ticho sú tri rôzne opravy. Reštart klienta ich zleje do jedného nepotrebného pozorovania.

Skontrolujte dátumy certifikátu a stav účtu, kým obviníte sieť. Oboje sa dá lacno preskúmať a oboje je v správe samotného klienta neviditeľné.

Vynúťte jednu obnovu a prečítajte výsledok

Vynúťte jednu obnovu metódou podporovanou operátorom namiesto čakania hodiny na ďalšiu. Ponechajte požadovanú politiku zlyhania nedotknutú, kým to robíte. Vypnutie overovania alebo natiahnutie životností na deň nechá symptóm zmiznúť z vašich logov bez toho, aby čokoľvek opravilo. Zanechá aj dlhší výpadok pre ďalšieho človeka.

Keď je oprava na mieste, skontrolujte obnovený tunel a potom odošlite novú požiadavku z aplikácie. Aplikačná relácia, ktorá bola živá, keď sa asociácia zmenila, môže potrebovať vlastnú obnovu, aj keď je tunel znova zdravý. Používatelia to nahlásia ako stále pokazený VPN.

Zaznamenajte verzie vydania, vyjednané časovače a fázu, ktorá zlyhala. Ďalší výskyt sa potom bude dať porovnať s týmto, namiesto opätovného opisu z pamäti.