Зашто вам VPN пада сваки пут када се кључеви ротирају

Веза ради један сат и затим умире, а клијент не пријављује ништа корисније од disconnected. Управо тај период је траг, јер се нешто у размени обнове разликује од почетног руковања. Тајмер само одлучује када ћете га срести. Сачувајте поруке те размене уместо завршне ознаке.

Читајте фазу, не ознаку

У IKEv2 се IKE асоцијација и CHILD асоцијација обнављају по одвојеним распоредима. Предлог који је био прихватљив за прво преговарање није аутоматски прихватљив за друго. Једна може да се заврши док се друга одбија, што ствара тунел који постоји на пола. Забележите размену алатом који њоме управља, а не редом клијентског дневника:

swanctl --list-sas
swanctl --log --level 2
ip xfrm state list

За OpenVPN, еквивалентни догађај је поновно преговарање којим управљају верзија и поставке распоређивања. Његово понашање при аутентификацији има своје режиме отказа. Порука која је важна именује неуспелу фазу, и треба је записати дословно, а не препричати у тикету.

Запишите и временске ознаке. Прекид у фиксном интервалу после последњег успешног преговарања је сасвим други налаз од оног који долази случајно током употребе, а интервал је често једини доказ који преживи.

Упоредите предлог који не успева

Одбијен предлог ствара јасну поруку на одговарајућој страни. Уобичајен узрок је разлика између два краја у алгоритму, дужини кључа, групи или трајању. Почетно CHILD преговарање је можда успело јер га је покренула друга страна, што значи да је коришћена њена листа предлога. Погледајте оба краја пре него што било шта промените.

Неслагања у трајању заслужују посебну пажњу, јер вредност која је на једном крају изгледала дарежљиво може натерати други крај да започне обнову коју не може да доврши. Документација о понашању при промени кључева описује како се обнова асоцијације покреће и како два краја могу да се разликују у својим временским очекивањима. Упоредите шта сваки крај тврди да подржава, а не шта предлаже конфигурациона датотека.

Стари профил или шаблон добављача може да закачи предлог који тренутно издање више не нуди. Неслагање се појављује само када се наметне ново преговарање.

Одвојите проблем акредитива од недоступног партнера

Обнова која не успе на аутентификацији изгледа слично у клијенту и потпуно другачије на серверу. Ако се акредитив поново проверава при поновном преговарању, истекао сертификат, опозван рачун или измењена лозинка створиће прекид тачно на интервалу обнове, док су све претходне везе успеле. Недоступан партнер је трећа могућност и не ствара никакво одбијање: пакети одлазе и ништа не одговара. Тај случај обично следи промену мреже, а не тајмер, зато проверите да ли грешка долази после роуминга, периода мировања или промене маршруте.

Разликујте три случаја по ономе што је забележио удаљени крај. Одбијање са разлогом, неуспех аутентификације и тишина су три различите поправке. Поновно покретање клијента их спаја у једно бескорисно запажање.

Проверите датуме сертификата и стање рачуна пре него што оптужите мрежу. Оба су јефтина за проверу и оба су невидљива у поруци самог клијента.

Наметните једну обнову и прочитајте резултат

Наметните једну обнову методом коју подржава оператер уместо да чекате сат времена на следећу. Задржите потребну политику отказа нетакнутом док то чините. Искључивање провере или развлачење трајања на један дан чини да симптом нестане из ваших дневника без поправке било чега. Такође оставља дужи прекид за следећу особу.

Када поправка буде на месту, проверите обновљени тунел и затим упутите нови захтев из апликације. Апликациона сесија која је била жива када се асоцијација променила може захтевати сопствени опоравак, иако је тунел поново здрав. Корисници ће то пријавити као VPN који је још увек покварен.

Забележите верзије издања, договорене тајмере и фазу која није успела. Следеће понављање ће онда моћи да се упореди са овим, уместо да се поново описује по сећању.