Скраћивање DPD тајмера не убрзава пребацивање VPN-а

Тунели падају, опоравак траје деведесет секунди, а тајмер мртвог партнера је постављен на десет, па се тајмер криви. То резоновање прескаче три фазе које се дешавају после откривања и обично заузимају већину времена. Откривање живости примећује тишину; затим избор партнера, аутентификација, инсталација руте и поновно повезивање апликације узимају свако свој ред. Скраћивање прве фазе не може скратити остале и може додати немир систему који се већ мучио.

Четири фазе, од којих једну можете мерити

Запишите опоравак као четири догађаја са временским ознакама. Квар постаје видљив: последњи корисни заштићени саобраћај и први неуспели захтев. Механизам власник реагује: откривање живости, монитор руте или други документовани окидач. Алтернатива постаје употребљива: избор партнера, аутентификација, нова асоцијација и рута која заиста носи жељени саобраћај. Апликација се опоравља: нова операција успева и оно што је било у току има одређен исход.

IKEv2 правила живости описују доказе о партнеру и његовим разменама и ништа не кажу о бази података или датотечној услузи иза тог партнера. Читање истека живости као здравствене провере целог пута је грешка која почиње лов на тајмер.

Зашто је тајмер најмање занимљив број

Конфигурисане вредности нису заменљиве јединице. Неке су интервали поновног покушаја, неке горње границе покушаја, а неке раде паралелно са другима. Њихово сабирање даје број који изгледа као прогноза, а понаша се као гласина. Прочитајте документацију за поље које ћете дирати и забележите који је од три типа.

Друге фазе уопште нису тајмери. Одлагање поновног повезивања, интерактивни захтев за аутентификацију или клијент који поново процењује конфигурацију само при рестарту могу сваки да доминирају прекидом док сваки протоколни тајмер стоји удобно ниско.

Мерите фазу која је заиста спора

Ухватите квар једном, са временским ознакама са обе стране, па упоредите четири догађаја, а не сопствене бројаче протокола. Један исправно изведен прозор посматрања вреди више од месец дана подешавања.

ip -4 route get 203.0.113.10
tcpdump -ni any -c 20 "esp or icmp"

Ако алтернативна крајња тачка никада не одговори, никаква промена тајмера не помаже, јер недоступност није проблем откривања. Ако се ново сигурносно стање формира брзо али рута и даље показује на мртви пут, проблем је у инсталацији руте и још једно подешавање живости само додаје немир.

Алтернатива мора већ бити употребљива

Резервна копија дефинисана у конфигурацији није резервна копија која ради. Мора бити доступна из тренутне мреже клијента, способна да аутентификује исти идентитет и дозвољена да носи исти саобраћај под истом политиком. Откријете ли било коју од те три празнине током прекида, расправа о тајмеру постаје небитна. Тестирајте алтернативу док је примарна здрава, јер је то једино време када можете читати оба дневника упоредо.

Припремите алтернативу унапред, намерно је тестирајте док је примарна здрава и забележите која од четири фазе узима време. Тај запис чини следећу промену мерењем уместо нагађања.

Немир при повратку и пут управљања

Враћање примарне је одвојена одлука. Агресиван повратак може прекинути посао који се већ опоравио на резерви, а нестабилан пут може изгледати као нестабилан тунел када је прави квар рута која непрестано осцилује између две једнаке опције.

Два пута једнаке цене без преференције уобичајен су извор видљивог треперења, јер сваки монитор реагује на избор оног другог. Одлучите који је пут пожељан у нормалним условима и учините ту преференцију експлицитном у конфигурацији уместо да је препустите редоследу рута. Унапред дефинишите жељено понашање при повратку и ко га поседује. Задржите претходна подешавања и независан пут управљања, јер промена која вам током прекида одузима сопствени приступ претвара мрежни инцидент у посету локацији.

Затим поновите исто радно оптерећење и упоредите исте четири временске ознаке. Краћи опоравак који апликацију и даље оставља да чека исти руту која недостаје или пријаву није напредак, то је други број на истом графикону.