ทำไม VPN ของคุณหลุดทุกครั้งที่คีย์หมุนเวียน

การเชื่อมต่อทำงานได้หนึ่งชั่วโมงแล้วก็ตาย และไคลเอนต์ไม่รายงานอะไรที่เป็นประโยชน์ไปกว่า disconnected ช่วงเวลานั้นเองคือเบาะแส เพราะมีบางอย่างในการแลกเปลี่ยนการต่ออายุที่ต่างจากการจับมือครั้งแรก ตัวตั้งเวลาเพียงตัดสินว่าเมื่อไรคุณจะเจอมัน เก็บข้อความจากการแลกเปลี่ยนนั้นแทนป้ายกำกับสุดท้าย

อ่านขั้นตอน ไม่ใช่ป้ายกำกับ

ใน IKEv2 สมาคม IKE และสมาคม CHILD ได้รับการต่ออายุตามกำหนดการที่แยกจากกัน ข้อเสนอที่ยอมรับได้สำหรับการเจรจาครั้งแรกไม่ได้รับอนุมัติอัตโนมัติสำหรับครั้งที่สอง ตัวหนึ่งอาจเสร็จสิ้นในขณะที่อีกตัวถูกปฏิเสธ ซึ่งสร้างอุโมงค์ที่มีอยู่เพียงครึ่งเดียว บันทึกการแลกเปลี่ยนด้วยเครื่องมือที่เป็นเจ้าของมัน ไม่ใช่ด้วยบรรทัดบันทึกของไคลเอนต์:

swanctl --list-sas
swanctl --log --level 2
ip xfrm state list

สำหรับ OpenVPN เหตุการณ์ที่เทียบเท่าคือการเจรจาใหม่ที่ควบคุมโดยเวอร์ชันและการตั้งค่าการติดตั้ง พฤติกรรมการรับรองความถูกต้องมีโหมดความล้มเหลวของตัวเอง ข้อความที่สำคัญระบุขั้นตอนที่ล้มเหลว และคุณควรบันทึกไว้ตามตัวอักษรแทนการถอดความลงในตั๋ว

จดบันทึกเวลาไว้ด้วย การหลุดในช่วงเวลาคงที่หลังการเจรจาที่สำเร็จครั้งล่าสุดเป็นการค้นพบที่ต่างจากการหลุดที่มาแบบสุ่มระหว่างใช้งานอย่างสิ้นเชิง และช่วงเวลามักเป็นหลักฐานเดียวที่ยังเหลืออยู่

เปรียบเทียบข้อเสนอที่ล้มเหลว

ข้อเสนอที่ถูกปฏิเสธสร้างข้อความที่ชัดเจนที่ฝ่ายตอบรับ สาเหตุปกติคือความแตกต่างระหว่างสองปลายทางในอัลกอริทึม ความยาวคีย์ กลุ่ม หรืออายุการใช้งาน การเจรจา CHILD ครั้งแรกอาจสำเร็จเพราะอีกฝ่ายเป็นผู้เริ่ม ซึ่งหมายความว่าได้ใช้รายการข้อเสนอของอีกฝ่าย ดูทั้งสองปลายทางก่อนที่จะเปลี่ยนอะไร

ความไม่ตรงกันของอายุการใช้งานสมควรได้รับความสนใจเป็นพิเศษ เพราะค่าที่ดูเหมือนใจกว้างที่ปลายหนึ่งอาจทำให้อีกปลายเริ่มการต่ออายุที่ไม่สามารถทำได้สำเร็จ เอกสารเกี่ยวกับพฤติกรรมการเปลี่ยนคีย์ อธิบายว่าการต่ออายุสมาคมถูกกระตุ้นอย่างไรและสองปลายทางสามารถแตกต่างกันในความคาดหวังด้านเวลาได้อย่างไร เปรียบเทียบสิ่งที่แต่ละปลายอ้างว่าสนับสนุน แทนสิ่งที่ไฟล์กำหนดค่าบ่งชี้

โปรไฟล์เก่าหรือเทมเพลตของผู้ให้บริการอาจตรึงข้อเสนอที่เวอร์ชันปัจจุบันไม่เสนออีกต่อไป ความไม่ตรงกันจะปรากฏเฉพาะเมื่อมีการบังคับการเจรจาใหม่

แยกปัญหาข้อมูลรับรองออกจากเพียร์ที่เข้าถึงไม่ได้

การต่ออายุที่ล้มเหลวในการรับรองความถูกต้องดูคล้ายกันในไคลเอนต์และต่างกันอย่างสิ้นเชิงบนเซิร์ฟเวอร์ ถ้าข้อมูลรับรองถูกตรวจสอบใหม่ในการเจรจาใหม่ ใบรับรองที่หมดอายุ บัญชีที่ถูกเพิกถอน หรือรหัสผ่านที่เปลี่ยนไปจะทำให้หลุดตรงช่วงการต่ออายุพอดี ในขณะที่การเชื่อมต่อก่อนหน้าทุกครั้งสำเร็จ เพียร์ที่เข้าถึงไม่ได้คือความเป็นไปได้ที่สาม และไม่สร้างการปฏิเสธเลย: แพ็กเก็ตออกไปและไม่มีอะไรตอบกลับ กรณีนั้นมักตามการเปลี่ยนแปลงของเครือข่ายแทนตัวตั้งเวลา ดังนั้นตรวจสอบว่าความล้มเหลวเกิดหลังการโรมมิ่ง ช่วงที่ไม่ได้ใช้งาน หรือการเปลี่ยนเส้นทาง

แยกแยะสามกรณีด้วยสิ่งที่ปลายไกลบันทึกไว้ การปฏิเสธพร้อมเหตุผล ความล้มเหลวในการรับรองความถูกต้อง และความเงียบเป็นการแก้ไขที่แตกต่างกันสามแบบ การรีสตาร์ทไคลเอนต์บีบให้เหลือการสังเกตเดียวที่ไร้ประโยชน์

ตรวจสอบวันที่ใบรับรองและสถานะบัญชีก่อนโทษเครือข่าย ทั้งสองอย่างตรวจสอบได้ถูกและทั้งสองอย่างมองไม่เห็นในข้อความของไคลเอนต์เอง

บังคับการต่ออายุหนึ่งครั้งแล้วอ่านผลลัพธ์

บังคับการต่ออายุหนึ่งครั้งด้วยวิธีที่ผู้ให้บริการสนับสนุนแทนการรอหนึ่งชั่วโมงสำหรับครั้งถัดไป รักษานโยบายความล้มเหลวที่กำหนดไว้ให้ครบถ้วนขณะทำ การปิดการตรวจสอบหรือยืดอายุการใช้งานเป็นหนึ่งวันทำให้อาการหายไปจากบันทึกของคุณโดยไม่แก้ไขอะไรเลย มันยังทิ้งการหยุดชะงักที่ยาวนานกว่าไว้ให้คนถัดไปด้วย

เมื่อการแก้ไขเข้าที่แล้ว ตรวจสอบอุโมงค์ที่ต่ออายุแล้ว และจากนั้นส่งคำขอใหม่จากแอปพลิเคชัน เซสชันแอปพลิเคชันที่ยังมีชีวิตอยู่เมื่อสมาคมเปลี่ยนอาจต้องกู้คืนของตัวเองแม้อุโมงค์จะกลับมาแข็งแรงแล้ว ผู้ใช้จะรายงานว่านั่นคือ VPN ที่ยังเสียอยู่

บันทึกเวอร์ชันที่เผยแพร่ ตัวตั้งเวลาที่เจรจา และขั้นตอนที่ล้มเหลว การเกิดซ้ำครั้งถัดไปจะสามารถเปรียบเทียบกับครั้งนี้แทนการบรรยายใหม่จากความจำ