Skrajšanje časovnika DPD ne pospeši preklopa VPN

Tuneli padajo, obnovitev traja devetdeset sekund, časovnik mrtvega partnerja pa je nastavljen na deset, zato je kriv časovnik. To sklepanje preskoči tri faze, ki se zgodijo po zaznavanju in običajno vzamejo večino časa. Zaznavanje živosti opazi tišino; nato izbira partnerja, preverjanje pristnosti, namestitev poti in ponovna povezava aplikacije vzamejo vsak svoj krog. Skrajšanje prve faze ne more skrajšati ostalih in lahko doda nemir sistemu, ki se je že mučil.

Štiri faze, eno od njih lahko izmerite

Obnovitev zapišite kot štiri dogodke s časovnimi žigi. Okvara postane opazljiva: zadnji koristni zaščiteni promet in prva neuspešna zahteva. Odgovorni mehanizem se odzove: zaznavanje živosti, nadzornik poti ali drug dokumentiran sprožilec. Alternativa postane uporabna: izbira partnerja, preverjanje pristnosti, nova povezava in pot, ki dejansko prenaša predvideni promet. Aplikacija si opomore: nova operacija uspe in tisto, kar je bilo v teku, ima določen izid.

Pravila živosti IKEv2 opisujejo dokaze o partnerju in njegovih izmenjavah ter ne povedo ničesar o zbirki podatkov ali datotečni storitvi za tem partnerjem. Branje poteka živosti kot pregleda zdravja celotne poti je napaka, s katero se začne lov na časovnik.

Zakaj je časovnik najmanj zanimivo število

Nastavljene vrednosti niso zamenljive enote. Nekatere so intervali ponovnega poskusa, nekatere zgornje meje poskusa, nekatere pa tečejo sočasno z drugimi. Njihovo seštevanje da število, ki je videti kot napoved, obnaša pa se kot govorica. Preberite dokumentacijo za polje, ki se ga boste dotaknili, in zabeležite, katera od treh vrst je.

Druge faze sploh niso časovniki. Zakasnitev ponovne povezave, interaktivno povpraševanje za preverjanje pristnosti ali odjemalec, ki svojo konfiguracijo ponovno ovrednoti le ob ponovnem zagonu, lahko vsak prevlada v prekinitvi, medtem ko vsak protokolni časovnik sedi udobno nizko.

Izmerite fazo, ki je res počasna

Okvaro zajemite enkrat, s časovnimi žigi na obeh straneh, nato primerjajte štiri dogodke namesto lastnih števcev protokola. Eno pravilno izvedeno opazovalno okno je boljše od meseca uglaševanja.

ip -4 route get 203.0.113.10
tcpdump -ni any -c 20 "esp or icmp"

Če se alternativna končna točka nikoli ne odzove, nobena sprememba časovnika ne pomaga, ker nedosegljivost ni problem zaznavanja. Če se novo varnostno stanje oblikuje hitro, a pot še vedno kaže na mrtvo sled, je težava v namestitvi poti in še ena prilagoditev živosti le doda nemir.

Alternativa mora biti že uporabna

Varnostna kopija, definirana v konfiguraciji, ni delujoča varnostna kopija. Dosegljiva mora biti iz trenutnega omrežja odjemalca, znati preveriti isto identiteto in imeti dovoljenje za prenos istega prometa pod isto politiko. Če med prekinitvijo odkrijete katero od teh treh vrzeli, razprava o časovniku postane nepomembna. Alternativo preizkusite, ko je primarna zdrava, ker je to edini čas, ko lahko berete oba dnevnika drug ob drugem.

Alternativo pripravite vnaprej, jo namerno preizkusite, ko je primarna zdrava, in zabeležite, katera od štirih faz vzame čas. Prav ta zapis naredi naslednjo spremembo meritev namesto ugibanja.

Nemir pri vrnitvi in upravljavska pot

Obnovitev primarne je ločena odločitev. Agresivna vrnitev lahko prekine delo, ki si je že opomoglo na varnostni kopiji, in migotava pot je lahko videti kot nestabilen tunel, ko je prava napaka pot, ki niha med dvema enakovrednima možnostma.

Dve enako dragi poti brez prednosti sta običajen vir vidnega migotanja, ker se vsak nadzornik odziva na izbiro drugega. Odločite se, katera pot je prednostna v normalnih razmerah, in to prednost izrecno navedite v konfiguraciji, namesto da bi jo prepustili vrstnemu redu poti. Vnaprej določite želeno vedenje ob vrnitvi in kdo je zanj odgovoren. Ohranite prejšnje nastavitve in neodvisno upravljavsko pot, ker sprememba, ki vam med prekinitvijo odvzame lasten dostop, spremeni omrežni incident v obisk na kraju samem.

Nato ponovite isto delovno obremenitev in primerjajte iste štiri časovne žige. Krajša obnovitev, ki aplikacijo še vedno pusti čakati na isto manjkajočo pot ali prijavo, ni napredek, je drugo število na istem grafu.