Keepalive ni ponovna povezava: izberite glede na napako, ki jo imate

Keepalive in ponovne povezave se nastavljajo v istem dihu, a rešujejo različne probleme, zato prilagajanje enega le redko popravi drugo. Keepalive pošilja majhen promet, da ohrani vnos stanja živ ali da opazi, da je partner prenehal odgovarjati. Ponovna povezava podre pokvarjeno in znova zgradi odnos, vključno s ključi, naslovi in usmeritvami. Izberite mehanizem, ki ustreza napaki, ne tistega, katerega gumb že poznate. Dve vprašanji to odločita: je pot mrtva ali nekaj med partnerji nanjo pozablja?

Ko je preslikava težava

Predor, ki umre šele po minutah tišine, običajno izgubi vnos prevoda, ne partnerja. Možnost PersistentKeepalive pri WireGuardu obstaja za stanje NAT in požarnega zidu, in lastne opombe projekta ga opisujejo prav tako, ne kot pregled zdravja. Interval nekaj desetih sekund ohranja vnos topel, medtem ko je paket vsako sekundo odločitev o bateriji, ne o zanesljivosti. OpenVPN pride na isto mesto prek ping in ping-restart , ki najprej opazita tišino in nato ukrepata.

Te nastavitve tudi niso zamenljive med protokoli. Pravilo mrtvega partnerja v IKEv2, časovnik ping v OpenVPN in keepalive v WireGuardu odgovarjajo na isto vprašanje s tremi različnimi skladnjami in tremi različnimi privzetimi vrednostmi, zato je kopiranje števila med njimi ugibanje, oblečeno v prilagajanje.

Ko je odnosa konec

Če partner zamenja naslov, poverilnica poteče ali se oddaljeni konec znova zažene, majhni paketi niso popravilo. Ponovna povezava mora znova zgraditi stanje : pridobiti naslov, znova namestiti usmeritve, znova se pogajati o ključih in v nekaterih uvedbah znova overiti uporabnika.

Odjemalci, ki se znova povezujejo brez nadzora, hranijo potrdilo ali shranjeno skrivnost. Odjemalec, ki bi vprašal človeka, spodleti ravno takrat, ko nikogar ni, in to je scenarij, v katerem je bila ponovna povezava pomembna. To je oblikovalska odločitev, sprejeta mesece prej, ne nastavitev, ki jo lahko spremenite med izpadom.

Česa ne dokazuje nobeno

Predor je lahko znova povezan, s ključi in usmeritvami, medtem ko storitev za njim ne deluje, in keepalive lahko drži preslikavo odprto za sejo, katere strežnik je izginil pred urami. Oba mehanizma lahko poročata o uspehu, medtem ko tisto, kar vam je res pomembno, ni na voljo.

Zato se preizkus konča z resnično zahtevo. Pošljite nekaj skozi predor po intervalu, ki vam je pomemben, nato ločeno sprožite napako, za katero ste načrtovali: obdobje nedejavnosti za primer preslikave, ponovni zagon ali spremembo naslova za primer ponovne povezave.

Blokiranje neposrednega prometa je ločena odločitev

Zanka ponovnega povezovanja je lahko povsem zdrava, medtem ko aplikacija tiho uporablja običajno pot, in to je uhajanje, ne napaka. Če je zahteva, da nič ne pride izven predora, to izrecno povejte v konfiguraciji odjemalca in dokažite tako, da predor spustite in pogledate, kaj se še povezuje. Noben mehanizem tega vedenja ne vključuje in nobena disciplina ponovnih poskusov ga ne vzpostavi.

Zabeležite, kateri mehanizem je deloval in ali je nato uspela nova zahteva. Ta dva podatka potrebuje naslednji inženir in nobeden ni viden v ikoni stanja. Vrstica v dnevniku, da se je odjemalec znova povezal, ni isto kot zahteva, ki je delovala.

Napišite pravilo, ne le števila

Par postavite v en stavek: interval nedejavnosti, prag živosti, kaj sproži obnovo , in kaj odjemalec počne, medtem ko poskuša znova. Brez tega stavka vsak prihodnji dogodek znova odpre isti spor, ali je keepalive prekratek ali je ponovna povezava prepočasna.

WireGuardove opombe o omejitvah so koristen opomnik, da je keepalive obhod za vmesne naprave in ne splošna zasnova živosti. Preberite to omejitev, preden povečate pogostost kot odgovor na težavo, ki je ne more rešiti.