Pse një tunel Azure OpenVPN bie afërsisht çdo gjashtëdhjetë sekonda

Tuneli e përfundon shtrëngimin e duarve, transporton trafik për rreth një minutë dhe pastaj rilidhet. Kjo sekuencë përjashton të dyshuarin e zakonshëm, sepse një mur i zjarrit që bllokon portën do të kishte ndalur shtrëngimin e duarve dhe jo sesionin. Ajo që keni është një mospajtim për gjallërinë: njëra palë vendosi që tjetra ishte heshtur dhe rrëzoi një tunel që funksiononte. Rreshti i regjistrit thotë cila palë, dhe ai zgjedh rregullimin.

Lexoni atë rresht përpara se të prekni ndonjë kohëmatës.

Miti: diçka në rrugë po e bllokon tunelin

Po të ishte bllokuar një portë, lidhja do të dështonte në fillim dhe do të mbetej e dështuar. Një cikël i përsëritur do të thotë që mesazhet e kontrollit rrjedhin, sesionet po vendosen dhe diçka më vonë në bisedë skadon vazhdimisht. Bllokimi prodhon heshtje, dhe kjo prodhon ritëm.

Ritmi është gjurma e dobishme. Kohëmatësit e prodhojnë; humbja e paketave rrallë.

Lexoni arsyen e shkëputjes para kohëmatësit

OpenVPN e emërton arsyen e tij, dhe çdo emër tregon një nënsistem tjetër. Session invalidated: KEEPALIVE_TIMEOUT është një kohëmatës që skadon, prandaj krahasoni vlerat e ping dhe ping-restart në të dy skajet. AUTH_FAILED janë kredencialet ose gjendja e certifikatës, dhe asnjë ndryshim kohëmatësi nuk do të ndihmojë. Një gabim TLS do të thotë që palët nuk arritën fare në fazën keepalive.

Regjistroni kohën e lidhjes, kohën e shkëputjes dhe nëse intervali është i qëndrueshëm deri në sekondë. Ai matje i vetëm ndan një orar të konfiguruar nga një rastësi.

Një interval i qëndrueshëm është kohëmatës. Një që zhvendoset është më shumë gjasa problem i rrugës ose një sesion i zhvendosur.

Dy kohëmatës keepalive që nuk u morën vesh kurrë

Profilet e eksportuara nga portali ndonjëherë ende mbajnë rreshta si keepalive ose ping-restart të kopjuara nga një shabllon serveri komunitar. Porta kryen zbulimin e vet të partnerit të vdekur dhe imponon pritshmëritë e veta, dhe dy oraret nuk duhet të përputhen. Kur ndryshojnë, klienti rinis sipas një orari me të cilin porta nuk u pajtua kurrë.

Dy vlerat nuk janë i njëjti kontroll. ping është sa shpesh klienti dërgon një jehonë, dhe ping-restart është sa kohë pret pa dëgjuar asgjë përpara se të rrëzojë tunelin. Një profil me ping-restart të shkurtër dhe një portë që përgjigjet ngadalë do të rinisin në çdo periudhë të qetë, që është saktësisht forma e një cikli njëminutësh.

Ndryshimi më i vogël në anën e klientit është të neutralizohen kohëmatësit në nivelin më të lartë të profilit, jashtë çdo blloku inline:

keepalive 0 0

Ruani, ringarkoni profilin, rilidhuni. Një sesion që është tashmë në memorie mban vlerat e vjetra, dhe për këtë arsye ndryshimi ndonjëherë duket sikur nuk bëri asgjë.

Emri i certifikatës mund të zhvendoset nën këmbët tuaja

Vërtetimi me certifikatë Azure varet nga fakti nëse klienti i beson emrit që porta paraqet sot. Një rresht verify-x509-name në një shkarkim më të vjetër mund të fiksojë një emër që një rindërtim i portës ose një rinovim certifikate e ka ndryshuar që atëherë, dhe mospërputhja shfaqet si një cikël rilidhjeje dhe jo si një gabim i qartë. Fshirja e rreshtit rikthen lidhjen, gjë që e bën atë një diagnostikim të mirë dhe një rregullim të përhershëm të keq, sepse heq edhe verifikimin. Pasi tuneli të qëndrojë, riktheni rreshtin me emrin që porta paraqet në të vërtetë.

Provoni një gjeneratë të dytë klienti në të njëjtën makinë përpara se të modifikoni portën. Nëse një klient bie në cikël dhe tjetri qëndron, profili nuk është problemi.

Çfarë të ndryshohet, dhe në çfarë radhe

Më pas kontrolloni për një sesion të zhvendosur. Dy pajisje që ndajnë një certifikatë mund të shtyjnë njëra-tjetrën jashtë, dhe rezultati duket periodik sepse të dyja palët vazhdojnë të rilidhen. Krahasoni regjistrimet e sesioneve nga pika në vend për të njëjtin identitet që shfaqet vazhdimisht.

Pastaj provoni rrugën e papunë duke ekzekutuar trafik të vazhdueshëm për disa minuta. Nëse rëniet ndalen ndërsa trafiku rrjedh, kohëmatësi i rëndësishëm i përket një pajisjeje NAT ose një balancuesi ngarkese në rrugë, dhe jo OpenVPN.

Cilësimet e portës duhet të ndryshohen vetëm pas këtyre katër provave.