Zakaj tunel Azure OpenVPN pade približno vsakih šestdeset sekund

Tunel konča rokovanje, prenaša promet približno minuto in se nato znova poveže. To zaporedje izključuje običajnega osumljenca, ker bi požarni zid, ki blokira vrata, ustavil rokovanje in ne seje. Kar imate, je nesoglasje glede živosti: ena stran je sklenila, da je druga utihnila, in porušila delujoč tunel. Vrstica v dnevniku pove, katera stran, in ta izbere popravek.

Preberite to vrstico, preden se dotaknete katerega koli časovnika.

Mit: nekaj na poti blokira tunel

Če bi bila vrata blokirana, bi povezava spodletela že na začetku in ostala spodletela. Ponavljajoči se cikel pomeni, da nadzorna sporočila tečejo, seje se vzpostavljajo in nekaj pozneje v pogovoru nenehno poteče. Blokiranje ustvarja tišino, to pa ustvarja ritem.

Ritem je koristen namig. Časovniki ga ustvarjajo; izguba paketov redko.

Preberite razlog prekinitve pred časovnikom

OpenVPN poimenuje svoj razlog in vsako ime kaže na drugo podsistem. Session invalidated: KEEPALIVE_TIMEOUT je časovnik, ki poteče, zato primerjajte vrednosti ping in ping-restart na obeh koncih. AUTH_FAILED so poverilnice ali stanje potrdila, in nobena sprememba časovnika ne bo pomagala. Napaka TLS pomeni, da strani sploh nista dosegli faze keepalive.

Zapišite čas povezave, čas prekinitve in ali je interval stabilen do sekunde. Ta ena meritev loči nastavljen urnik od naključja.

Stabilen interval je časovnik. Ta, ki drsi, je bolj verjetno težava poti ali premaknjena seja.

Dva časovnika keepalive, ki se nista nikoli uskladila

Profili, izvoženi iz portala, včasih še vedno nosijo vrstice, kot so keepalive ali ping-restart, kopirane iz predloge skupnostnega strežnika. Prehod izvaja lastno zaznavanje mrtvega partnerja in vsiljuje lastna pričakovanja, urnika pa se ne rabita ujemati. Ko se razhajata, se odjemalec znova zažene po urniku, s katerim se prehod nikoli ni strinjal.

Dve vrednosti nista isto upravljanje. ping je, kako pogosto odjemalec pošlje odmev, in ping-restart je, kako dolgo čaka, ne da bi karkoli slišal, preden poruši tunel. Profil s kratkim ping-restart in prehod, ki odgovarja počasi, se bosta znova zaganjala v vsakem mirnem obdobju, kar je natanko oblika enominutnega cikla.

Najmanjša sprememba na strani odjemalca je nevtralizirati časovnike na najvišji ravni profila, zunaj vsakega vgrajenega bloka:

keepalive 0 0

Shranite, znova naložite profil, znova se povežite. Seja, ki je že v pomnilniku, obdrži stare vrednosti, zato je urejanje včasih videti, kot da ni storilo ničesar.

Ime potrdila se lahko premakne pod vašimi nogami

Preverjanje potrdila Azure je odvisno od tega, ali odjemalec zaupa imenu, ki ga prehod predstavlja danes. Vrstica verify-x509-name v starejšem prenosu lahko pripne ime, ki sta ga ponovna izgradnja prehoda ali obnovitev potrdila od takrat spremenila, in neskladje se pokaže kot zanka ponovnega povezovanja in ne kot jasna napaka. Brisanje vrstice obnovi povezljivost, kar jo naredi dobro diagnostiko in slabo trajno popravilo, ker odstrani tudi preverjanje. Ko tunel zdrži, obnovite vrstico z imenom, ki ga prehod dejansko predstavlja.

Preizkusite drugo generacijo odjemalca na istem računalniku, preden uredite prehod. Če en odjemalec ponavlja in drugi zdrži, profil ni težava.

Kaj spremeniti in v kakšnem vrstnem redu

Nato preverite premaknjeno sejo. Dve napravi, ki si delita eno potrdilo, se lahko izrineta, in rezultat je videti periodičen, ker se obe strani naprej znova povezujeta. Primerjajte zapise sej od točke do lokacije za isto identiteto, ki se pojavlja znova in znova.

Nato preizkusite neaktivno pot tako, da nekaj minut izvajate neprekinjen promet. Če se padci ustavijo, medtem ko promet teče, pomembni časovnik pripada napravi NAT ali uravnavalniku obremenitve na poti in ne OpenVPN.

Nastavitve prehoda je treba spremeniti šele po teh štirih preizkusih.