Ali se VPN prekine v enakem intervalu? Ujemite časovnik
Prekinitev v stalnem intervalu je prstni odtis. Preden karkoli spremenite, primerjajte osvežitev ključev tunela, časovnik nedejavnosti NAT, najem DHCP in omejitev računa.
Tunel, ki umre vsakih petnajst minut ali vsako uro ob isti minuti, vam pove, da je potekel nek časovnik, ne da je omrežje nestabilno. Uporabna poteza je, da interval zapišete in ga primerjate s štirimi časovniki, ki ustvarjajo ta vzorec. Spreminjanje časovnih omejitev pred to primerjavo običajno premakne napako, ne da bi jo pojasnilo, zaradi česar je naslednji dogodek težje brati kot prvi. Meritev traja deset minut in nadomesti teden ugibanja.
Spremenite interval v število
Zberite pet ali šest dogodkov in izračunajte razmik med njimi, ne razmika od začetka dneva. Prekinitev ob 09:12, 10:12 in 11:12 je urna meja; prekinitev ob 09:12, 09:27 in 09:42 je petnajst minut od zadnje uspešne povezave. Rezultat zaokrožite na najverjetnejši časovnik, ne na najbližjo minuto.
Zabeležite dva trenutka na dogodek: kdaj se je promet nazadnje premaknil in kdaj je odjemalec sporočil prekinitev. Razlikujeta se, ko tunel tiho umre in odjemalec to opazi šele pri naslednjem pošiljanju, in prav ta razlika loči časovno omejitev nedejavnosti od trde okvare. Odjemalec, ki opazi pozno, napihne okno nedejavnosti, ki ga merite.
Bodite pozorni, ali je ponovna povezava samodejna. Odjemalec, ki se znova poveže v nekaj sekundah, ohrani interval viden v dnevniku in zunaj poročila uporabnika, zato so te okvare pogosto opisane kot občasne in ne periodične. Dogodek tudi skrije pred osebo, ki uporablja prenosnik.
Štirje časovniki, ki so si podobni
Skoraj vsak ponavljajoči se padec tunela izvira iz enega od teh: osvežitve ključev protokola, poteka nedejavnega preslikavanja, dogodka DHCP ali vmesnika ali politike računa. Razlikujejo se po tem, ali je promet tekel, in po tem, kaj dnevnik pravi na meji.
Spodnje podpise se je vredno naučiti, ker vam omogočajo, da zavrnete tri razlage iz ene same vrstice dnevnika:
| Timer | Typical trigger | What the log shows at the boundary |
|---|---|---|
| Protocol rekey | Traffic present, fixed interval | Negotiation lines, sometimes a failure |
| NAT or firewall idle | No traffic for minutes | Silence, then a timeout on send |
| DHCP lease or link change | Half the lease, or a radio event | Address or interface churn |
| Account session limit | Wall-clock hours since login | Clean disconnect, server-side reason |
Prva vrstica je varnostni mehanizem, ki opravlja svoje delo, druga pa je vmesna naprava, ki pozabi stanje. Njuno zamenjavanje vodi bodisi v slabitev osvežitve bodisi v lovljenje pravila požarnega zidu, ki ni bilo nikoli vpleteno.
Zasedeno proti nedejavnemu vam pove, katera polovica
Izvedite nadzorovano primerjavo s stalnim prometom, na primer dolg tok do gostitelja znotraj tunela, in opazujte, ali se interval spremeni. Če prekinitev izgine, medtem ko podatki tečejo, časovnik temelji na nedejavnosti.
Če preživi stalen promet, vzrok spada k osvežitvi, najemu ali politiki. Ta en sam preizkus odstrani polovico kandidatov v približno eni uri opazovanja in ne stane ničesar razen pozornosti.
Med preizkusom naj dostopovno omrežje ostane nespremenjeno. Preklapljanje med Wi-Fi in Ethernet na polovici primerjave vnese natanko tisti dogodek vmesnika, ki ga poskušate ločiti od časovnika.
Ujemite vrstico dnevnika z mejo
Berite dnevnike odjemalca in strežnika okoli zabeleženega trenutka, ne cele datoteke. Osvežitev pokaže pogajanja; potek nedejavnosti ne pokaže ničesar do naslednjega paketa; sprememba najema pokaže delo z naslovom; omejitev politike običajno pokaže čisto administrativno prekinitev.
Ti ukazi izvlečejo ustrezno okno iz vsakega vira:
grep -iE "reneg|TLS Error|Inactivity" /var/log/openvpn.log | tail -20
journalctl -u NetworkManager --since "-90 min" | grep -iE "dhcp|link"
wg showČe se trije viri ujemajo glede časovnega žiga, poznate lastnika časovnika. Če ima kaj samo dnevnik odjemalca, strežnik verjetno ni tisti, ki konča sejo.
Popravite stopnjo, ne ikone
Vsak lastnik ima eno podprto popravilo. Okvara osvežitve zahteva združljive predloge na obeh koncih. Potek nedejavnosti zahteva signal za ohranjanje ali krajše pričakovanje nedejavnosti, v mejah, ki jih dovoljuje pot. Dogodek najema zahteva odpravo nastavitev vmesnika ali napajanja. Omejitev računa je odločitev politike, ne hrošč.
Izklop osvežitve ali overjanja, da ikona ostane zelena, zamenja vidno prekinitev za nevidno šibkost in vam ne pusti povedati, kdaj je tunel nazadnje izpogajal nove ključe. Nato znova preizkusite prvotno trajanje in ohranite časovne žige, da bo naslednji dogodek mogoče primerjati s tem, namesto da bi začeli znova.