Зашто тунел Azure OpenVPN пада отприлике сваких шездесет секунди

Тунел заврши руковање, преноси саобраћај око минута, а затим се поново повезује. Тај след искључује уобичајеног осумњиченог, јер би заштитни зид који блокира порт зауставио руковање, а не сесију. Оно што имате је неслагање о животности: једна страна је одлучила да је друга утихнула и срушила исправан тунел. Линија у дневнику каже која страна, и она бира поправку.

Прочитајте ту линију пре него што додирнете било који тајмер.

Мит: нешто на путу блокира тунел

Да је порт блокиран, веза би пропала на почетку и остала пропала. Циклус који се понавља значи да контролне поруке теку, сесије се успостављају, а нешто касније у разговору стално истиче. Блокирање ствара тишину, а ово ствара ритам.

Ритам је користан траг. Тајмери га стварају; губитак пакета ретко.

Прочитајте разлог прекида пре тајмера

OpenVPN именује свој разлог, и свако име упућује на други подсистем. Session invalidated: KEEPALIVE_TIMEOUT је тајмер који истиче, па упоредите вредности ping и ping-restart на оба краја. AUTH_FAILED су акредитиви или стање сертификата, и никаква промена тајмера неће помоћи. TLS грешка значи да стране уопште нису стигле до фазе keepalive.

Забележите време повезивања, време прекида и да ли је интервал стабилан до секунде. То једно мерење одваја конфигурисани распоред од случајности.

Стабилан интервал је тајмер. Онај који плута вероватније је проблем пута или померена сесија.

Два keepalive тајмера која се никада нису сложила

Профили извезени са портала понекад још носе keepalive или ping-restart линије копиране са шаблона заједничког сервера. Гејтвеј води сопствено откривање мртвог партнера и намеће сопствена очекивања, а два распореда не морају да се поклопе. Када се разилазе, клијент се рестартује према распореду са којим се гејтвеј никада није сложио.

Две вредности нису иста контрола. ping је колико често клијент шаље ехо, а ping-restart је колико дуго чека без ичега што чује пре него што сруши тунел. Профил са кратким ping-restart и гејтвеј који одговара споро рестартоваће се у сваком тихом периоду, што је тачно облик једноминутног циклуса.

Најмања промена на страни клијента је неутралисати тајмере на највишем нивоу профила, изван сваког уграђеног блока:

keepalive 0 0

Сачувајте, поново учитајте профил, поново се повежите. Сесија која је већ у меморији задржава старе вредности, зато измена понекад изгледа као да није урадила ништа.

Име сертификата може се померити под вама

Azure аутентификација сертификатом зависи од тога да ли клијент верује имену које гејтвеј данас представља. verify-x509-name линија у старијем преузимању може прикачити име које су поновна изградња гејтвеја или обнова сертификата од тада променили, а несклад се појављује као петља поновног повезивања, а не као јасна грешка. Брисање линије враћа повезаност, што је чини добром дијагностиком и лошим трајним поправком, јер уклања и проверу. Када се тунел задржи, вратите линију са именом које гејтвеј заиста представља.

Тестирајте другу генерацију клијента на истом рачунару пре уређивања гејтвеја. Ако један клијент кружи а други се држи, проблем није у профилу.

Шта променити и којим редом

Затим проверите померену сесију. Два уређаја која деле један сертификат могу се међусобно истиснути, а резултат изгледа периодично јер обе стране настављају поново да се повезују. Упоредите записе сесија од тачке до локације за исти идентитет који се појављује изнова и изнова.

Затим тестирајте мировање пута пуштајући непрекинут саобраћај неколико минута. Ако падови престану док саобраћај тече, важни тајмер припада NAT уређају или балансеру оптерећења на путу, а не OpenVPN-у.

Подешавања гејтвеја треба мењати тек након та четири теста.