SSH inakatika kwenye VPN kila dakika? Siyo keepalive

SSH inaunganisha, inafanya kazi kama dakika moja, kisha inaganda kwa muda unaokaribia kuwa sawa kila mara. Maelezo ya kawaida ni muda wa kusubiri bila shughuli, kwa hiyo watu hupunguza MTU na kuweka keepalives za mteja. Kiungo cha WireGuard nilichofanyia kazi kilikuwa kimeshapita haya yote: MTU ndogo ya handaki, mipangilio ya client-alive, keepalive ya handaki iliyosanidiwa. Vikatiko viliendelea bila mabadiliko. Sababu ilikuwa njia ya LAN isiyo na ulinganifu, na muundo huu unafaa kutambuliwa kwa sababu hushinda kila suluhisho la kutegemea vipima muda.

Keepalive inathibitisha kuwa mwenyeji wako bado yuko tayari kutuma. Haiwezi kufanya kifaa kinachohifadhi hali kione jibu ambalo haliwapi kupita ndani yake.

Hadithi: keepalives hutengeneza kikatizo cha kimya

Keepalives za SSH zipo kwa kazi moja: kuzuia kitu kinachohesabu ukimya kusafisha kipindi kisichotumika. Hilo wanafanya vizuri. Hazitatui kifaa kinachohifadhi hali kilichoona pakiti ya kwanza upande mmoja kisha hakikuona jibu kamwe, kwa sababu hakuna chochote anachotuma mteja kinachobadilisha ni kiolesura kipi jibu linatumia.

Kubadilisha MTU ni suluhisho lingine maarufu, na lina njia hiyo hiyo ya kushindwa. Kupunguza MTU kunasaidia mgawanyiko na matatizo ya MTU ya njia, na hakifanyi chochote kwa njia. Ikiwa vipima muda na MTU yako tayari ni nzuri na kikatizo bado kinaendelea kwa muda unaojirudia, muda huo unakuambia kuhusu muda wa kusubiri mahali fulani, si kuhusu ukubwa wa pakiti. Andika muda huo na ulinganishe na muda wa kusubiri wa hali kwenye kila kifaa kwenye njia.

Dalili ni uthabiti pamoja na kipindi kinachobaki kinaweza kutumika ndani ya muda huo. Muda wa kusubiri bila shughuli hupiga wakati hakuna kinachotokea; huu hupiga unapoandika.

Gateway ya ziada hufanya nini kwa kweli

Weka kompyuta ndogo na gateway ya VPN kwenye LAN moja, ukiwa na firewall ya LAN tofauti kama gateway chaguo-msingi. Kompyuta ndogo hutuma trafiki inayoelekea VPN kwa firewall, firewall huipitisha kwa gateway, na majibu ya gateway yanarudi moja kwa moja kupitia LAN hadi kwenye kompyuta ndogo. Ule mguu wa pili haupiti kamwe kwenye firewall, kwa hiyo jedwali lake la hali linahifadhi nusu ya muunganisho.

Anwani zilizo hapa chini zinaonyesha mpangilio huo:

Laptop:             192.168.50.20
LAN firewall:       192.168.50.1
WireGuard gateway:  192.168.50.10
Remote VPN subnet:  10.77.0.0/24

Uelekezaji upya na utunzaji wa hali kisha hubadilisha handshake inayofanya kazi kuwa muunganisho unaokufa baadaye badala ya mara moja. Ucheleweshaji ni ingizo la hali linalozeeka au ukaguzi mkali zaidi kushindwa, ndiyo sababu muda huonekana wa kiufundi hivyo.

Hakuna chochote kati ya hivi kinachoonekana kwenye usanidi wa mteja, ndiyo sababu utafutaji wake kawaida huanza kwenye faili isiyo sahihi.

Chagua njia moja ya makusudi

Kwa mpangilio ulio juu, kuelekeza subnet ya mbali moja kwa moja kwenye gateway ya VPN huondoa nusu ya muunganisho:

sudo ip route add 10.77.0.0/24 via 192.168.50.10
ip route get 10.77.0.42

Hizi ni anwani za mfano. Hop inayofuata lazima ifikiwe kwenye LAN yako, kiambishi awali lazima kiwe mtandao wa mbali uliokusudiwa, na amri ya pili inakuonyesha matokeo kabla ya kuitegemea. Ikiwa gateway haiko kwenye subnet yako, njia hii si suluhisho unalotaka.

Ikiwa firewall inakusudiwa kusimamia trafiki kati ya mifumo hiyo, kuelekeza kuzunguka ni muundo mbaya. Badala yake acha pande zote mbili zivuke mpaka na usanidi njia kila upande ili njia ya kurudi ilingane. Lengo ni njia moja ya makusudi, si ukaguzi mdogo wa hali.

mazungumzo kuhusu uelekezaji usio na ulinganifu za Netgate zinaeleza ulinganifu huo huo wa kiwango cha kiolesura na matatizo ya hali inayosababisha, kwa hiyo zisome kabla ya kulegeza utunzaji wa hali duniani kote. Vikatiko vya muda vinavyofanana na kesi hii si ushahidi vyenyewe. Chukulia makala kama maelezo ya njia moja ya kushindwa, kisha thibitisha kuwa mtandao wako mwenyewe unalingana nayo kabla ya kubadilisha sera ya hali ya kimataifa.

Jaribu kutoka pande zote mbili

Soma njia ya kompyuta ndogo kuelekea lengwa na njia ya lengo kurudi kwa kompyuta ndogo; ni maamuzi mawili tofauti na huenda moja tu ndiyo isiyo sahihi. Ping inayofanikiwa kutoka kwa gateway yenyewe inaweza kuficha tatizo kabisa, kwa sababu inatoka kwenye mashine ambayo njia yake tayari ni sahihi. Unahitaji pande zote mbili kama zinavyoonekana na ncha mbili za kipindi halisi.

Baada ya suluhisho, fungua SSH tena na uweke kipindi wazi kwa muda mrefu zaidi ya kile kilichokuwa kikishindwa. Kisha fanya njia iwe ya kudumu kwenye usanidi wa mtandao ulioidhinishwa, kwa sababu amri ya mara moja si mpango wa kuwasha upya na tatizo litarudi kwenye kuwasha upya kunakofuata likiwa na fumbo jipya.

Wakati ulinganifu usio sawa unafaa

Uelekezaji usio na ulinganifu ni kawaida katika mitandao mingi na si mbaya kwa ufafanuzi. Unakuwa tatizo wakati ufuatiliaji wa hali, tafsiri au sera hutegemea kuona njia wasiyoiona, na kila moja ya hayo ina tiba tofauti. Angalia kile kifaa cha kati kinachohitaji kwa kweli kabla ya kubuni upya kuzunguka.

Jibu la kudumu linataja njia mbili, kifaa kinachohitaji kuona zote mbili, na njia inayofanya hilo liwezekane. Ikiwa huwezi kutaja kifaa, bado hujapata sababu.