Bakit bumabagsak ang VPN mo tuwing umiikot ang mga susi

Gumagana ang koneksyon nang isang oras at pagkatapos ay namamatay, at ang kliyente ay walang iniuulat na mas kapaki-pakinabang kaysa disconnected. Ang panahong iyon ang palatandaan, dahil may isang bagay sa palitan ng pag-renew na naiiba sa unang handshake. Ang timer ay nagpapasya lamang kung kailan mo ito makakaharap. I-save ang mga mensahe mula sa palitang iyon sa halip na ang huling label.

Basahin ang yugto, hindi ang label

Sa IKEv2 ang IKE association at ang CHILD association ay nire-renew sa magkahiwalay na iskedyul. Ang panukalang tinanggap sa unang negosasyon ay hindi awtomatikong tinatanggap sa pangalawa. Maaaring matapos ang isa habang tinatanggihan ang isa pa, na lumilikha ng tunnel na kalahati lang ang umiiral. Itala ang palitan gamit ang tool na nagmamay-ari nito, hindi gamit ang isang linya ng log ng kliyente:

swanctl --list-sas
swanctl --log --level 2
ip xfrm state list

Para sa OpenVPN, ang katumbas na pangyayari ay isang muling negosasyon na pinamamahalaan ng bersyon at ng mga setting ng deployment. Ang pag-uugali nito sa pagpapatotoo ay may sariling mga paraan ng pagpalya. Ang mensaheng mahalaga ay pinangalanan ang bigong yugto, at dapat mong itala ito nang eksakto sa halip na i-paraphrase sa isang ticket.

Isulat din ang mga timestamp. Ang pagbagsak sa takdang pagitan pagkatapos ng huling matagumpay na negosasyon ay lubhang naiibang natuklasan kaysa sa isang dumarating nang random habang ginagamit, at ang pagitan ay madalas na tanging ebidensyang natitira.

Ihambing ang panukalang nabibigo

Ang tinanggihang panukala ay gumagawa ng malinaw na mensahe sa responder. Ang karaniwang dahilan ay pagkakaiba ng dalawang dulo sa algorithm, haba ng susi, grupo o tagal. Maaaring nagtagumpay ang unang CHILD na negosasyon dahil ang kabilang panig ang nagpasimula, ibig sabihin ginamit ang listahan ng panukala ng kabilang panig. Tingnan ang dalawang dulo bago baguhin ang anuman.

Ang mga pagkakaiba sa tagal ay karapat-dapat sa espesyal na pansin, dahil ang halagang mukhang mapagbigay sa isang dulo ay maaaring mag-udyok sa kabilang dulo na magsimula ng pag-renew na hindi nito matatapos. Ang dokumentasyon ng pag-uugali sa pagpapalit ng susi ay naglalarawan kung paano pinasisimulan ang pag-renew ng association at kung paano maaaring magkaiba ang dalawang dulo sa kanilang inaasahan sa oras. Ihambing ang sinasabi ng bawat dulo na sinusuportahan nito kaysa sa ipinapahiwatig ng configuration file.

Ang lumang profile o template ng provider ay maaaring mag-pin ng panukalang hindi na iniaalok ng kasalukuyang release. Lumilitaw lamang ang pagkakaiba kapag pinilit ang bagong negosasyon.

Ihiwalay ang problema sa kredensyal mula sa hindi maabot na peer

Ang pag-renew na nabibigo sa pagpapatotoo ay mukhang pareho sa kliyente at lubhang naiiba sa server. Kung ang kredensyal ay muling sinusuri sa muling negosasyon, ang nag-expire na sertipiko, binawing account o pinalitang password ay gagawa ng pagbagsak nang eksakto sa pagitan ng pag-renew habang nagtagumpay ang lahat ng naunang koneksyon. Ang hindi maabot na peer ay ang ikatlong posibilidad, at wala itong ginagawang pagtanggi: lumalabas ang mga packet at walang sumasagot. Ang kasong iyon ay kadalasang sumusunod sa pagbabago ng network kaysa sa timer, kaya tingnan kung ang pagpalya ay dumarating pagkatapos ng roaming, panahon ng walang aktibidad o pagbabago ng ruta.

Ihiwalay ang tatlo ayon sa naitala ng malayong dulo. Ang pagtanggi na may dahilan, pagkabigo sa pagpapatotoo at katahimikan ay tatlong magkaibang pagwawasto. Ang pag-restart ng kliyente ay pinagsasama-sama sila sa isang walang silbing obserbasyon.

Tingnan ang mga petsa ng sertipiko at ang katayuan ng account bago sisihin ang network. Pareho silang mura sa pagsusuri at pareho silang hindi nakikita sa mensahe ng kliyente mismo.

Pilitin ang isang pag-renew at basahin ang resulta

Pilitin ang isang pag-renew sa paraang sinusuportahan ng operator sa halip na maghintay ng isang oras para sa susunod. Panatilihing buo ang kinakailangang patakaran sa pagpalya habang ginagawa iyon. Ang pagpatay ng beripikasyon o paghila ng tagal hanggang isang araw ay nagpapawala ng sintomas sa iyong mga log nang walang itinatama. Nag-iiwan din ito ng mas mahabang pagkagambala para sa susunod na tao.

Kapag nakalagay na ang pagwawasto, tingnan ang na-renew na tunnel at pagkatapos ay gumawa ng bagong request mula sa application. Ang session ng application na buhay noong nagbago ang association ay maaaring mangailangan ng sariling pagbawi kahit malusog na muli ang tunnel. Iuulat ito ng mga user na sira pa rin ang VPN.

Itala ang mga bersyon ng release, ang mga napagkasunduang timer at ang yugtong nabigo. Ang susunod na pag-ulit ay maihahambing kung gayon dito sa halip na muling ilarawan mula sa memorya.