Bakit bumabagsak ang isang Azure OpenVPN tunnel halos tuwing animnapung segundo

Natapos ng tunnel ang handshake, nagdadala ng trapiko nang halos isang minuto, pagkatapos ay muling kumokonekta. Ang pagkakasunod-sunod na iyon ay inaalis ang karaniwang pinaghihinalaan, dahil ang firewall na humaharang sa port ay titigil sa handshake at hindi sa session. Ang mayroon ka ay hindi pagkakasundo tungkol sa pagiging buhay: nagpasya ang isang panig na tumahimik ang isa at giniba ang gumaganang tunnel. Sinasabi ng linya sa log kung aling panig, at iyon ang pumipili ng pagwawasto.

Basahin ang linyang iyon bago hawakan ang anumang timer.

Ang alamat: may humaharang sa tunnel sa daan

Kung na-block ang isang port, mabibigo ang koneksyon sa simula at mananatiling bigo. Ang paulit-ulit na cycle ay nangangahulugang dumadaloy ang mga control message, nagtatayo ang mga session, at may paulit-ulit na nag-e-expire sa bandang huli ng usapan. Ang pagharang ay lumilikha ng katahimikan, at ito ay lumilikha ng ritmo.

Ang ritmo ang kapaki-pakinabang na palatandaan. Nililikha ito ng mga timer; bihira itong likhain ng pagkawala ng packet.

Basahin ang dahilan ng pagputol bago ang timer

OpenVPN ay pinangalanan ang dahilan nito, at ang bawat pangalan ay tumuturo sa ibang subsystem. Ang Session invalidated: KEEPALIVE_TIMEOUT ay isang timer na nag-e-expire, kaya ihambing ang mga halaga ng ping at ping-restart sa dalawang dulo. Ang AUTH_FAILED ay mga kredensyal o estado ng sertipiko, at walang pagbabago sa timer ang makakatulong. Ang error sa TLS ay nangangahulugang hindi man lang umabot ang mga panig sa yugto ng keepalive.

Itala ang oras ng pagkonekta, oras ng pagputol, at kung matatag ang agwat hanggang sa segundo. Ang nag-iisang sukat na iyon ay naghihiwalay ng naka-configure na iskedyul mula sa pagkakataon.

Ang matatag na agwat ay timer. Ang gumagalaw ay mas malamang na problema sa daan o inilipat na session.

Dalawang keepalive timer na hindi kailanman nagkasundo

Ang mga profile na inilabas mula sa portal kung minsan ay may dalang mga linya tulad ng keepalive o ping-restart na kinopya mula sa template ng community server. Ang gateway ay nagpapatakbo ng sarili nitong pagtukoy ng patay na kapareha at nagpapatupad ng sarili nitong inaasahan, at ang dalawang iskedyul ay hindi kailangang magtugma. Kapag hindi sila nagtugma, nagre-restart ang kliyente ayon sa iskedyul na hindi kailanman tinanggap ng gateway.

Ang dalawang halaga ay hindi isang kontrol. Ang ping ay kung gaano kadalas nagpapadala ng echo ang kliyente, at ang ping-restart ay kung gaano katagal itong naghihintay na walang naririnig bago gibain ang tunnel. Ang profile na may maikling ping-restart at gateway na mabagal sumagot ay magre-restart sa bawat tahimik na panahon, na siyang eksaktong hugis ng isang minutong cycle.

Ang pinakamaliit na pagbabago sa panig ng kliyente ay ang gawing neutral ang mga timer sa pinakamataas na antas ng profile, sa labas ng bawat inline na bloke:

keepalive 0 0

I-save, i-reload ang profile, kumonekta muli. Ang session na nasa memorya na ay nagpapanatili ng lumang halaga, kaya kung minsan ay parang walang ginawa ang pag-edit.

Maaaring gumalaw ang pangalan ng sertipiko sa ilalim ng iyong mga paa

Ang pagpapatunay ng sertipiko ng Azure ay nakasalalay sa kung pinagkakatiwalaan ng kliyente ang pangalang ipinapakita ng gateway ngayon. Ang linyang verify-x509-name sa mas lumang download ay maaaring mag-pin ng pangalang binago ng muling pagtatayo ng gateway o pag-renew ng sertipiko mula noon, at ang pagkakaiba ay lumalabas bilang loop ng muling pagkonekta at hindi bilang malinaw na error. Ang pagbura ng linya ay nagbabalik ng koneksyon, na ginagawa itong magandang diagnostic at masamang permanenteng pagwawasto, dahil tinatanggal din nito ang beripikasyon. Kapag matatag na ang tunnel, ibalik ang linya sa pangalang tunay na ipinapakita ng gateway.

Subukan ang pangalawang henerasyon ng kliyente sa parehong makina bago i-edit ang gateway. Kung ang isa ay umiikot at ang isa ay matatag, ang profile ay hindi ang problema.

Ano ang babaguhin, at sa anong pagkakasunod-sunod

Susunod, tingnan kung may inilipat na session. Dalawang device na nagbabahagi ng isang sertipiko ay maaaring magtulakan palabas, at ang resulta ay parang pana-panahon dahil patuloy na kumokonekta muli ang dalawang panig. Ihambing ang mga talaan ng session mula sa punto hanggang sa lugar para sa parehong pagkakakilanlan na paulit-ulit na lumalabas.

Pagkatapos, subukan ang idle na daan sa pamamagitan ng pagpapatakbo ng tuloy-tuloy na trapiko nang ilang minuto. Kung huminto ang pagbagsak habang dumadaloy ang trapiko, ang mahalagang timer ay pag-aari ng NAT device o load balancer sa daan, hindi ng OpenVPN.

Ang mga setting ng gateway ay dapat baguhin lamang pagkatapos ng apat na pagsubok na ito.