UDP üzerinden VPN boşta kalınca duruyor: güvenlik duvarı akışınızı unuttu

VPN bağlanıyor, bir süre çalışıyor ve sonra istemci hâlâ oturum gösterirken trafiği geçirmeyi bırakıyor. Yeniden bağlanmak bunu düzeltiyor, bu yüzden istemci hatası gibi görünüyor. Genellikle boştaki UDP eşlemesini düşüren ve tünelin hâlâ var olduğunu bilmeyen bir güvenlik duvarı ya da NAT cihazıdır.

Belirti tanı koymak için yeterince tutarlı: yük altında değil, hareketsizlikten sonra ortaya çıkıyor.

Boşta kalma durması nasıl görünür

Anlatmak yerine ölçün. Trafik durmadan önce tünelin ne kadar boşta kaldığını, yeni bir giden paketin onu canlandırıp canlandırmadığını ve istemci arayüzünün hâlâ adresini tutup tutmadığını not edin. İstemciden gelen yeni istek çalışıyor ama mevcut bir akışa verilen yanıt çalışmıyorsa şüpheli eşlemedir. Yeniden bağlanana kadar hiçbir şey çalışmıyorsa istemcinin oturum durumu da kaybolmuştur.

İkisi de hareketsizlikle ilgilidir ve farklı düzeltmeler gerektirir.

Herhangi bir şeyi değiştirmeden önce süreleri yazın. Yaklaşık on boş dakikadan sonra durduğu yönündeki bir rapor test edilebilir, rastgele düştüğü yönündeki bir rapor ise edilemez. Bu fark, bir zamanlayıcının mı yoksa yönlendirme değişikliğinin mi peşinde olduğunuzu belirler.

Unutan cihazı bulun

Aynı akış için birkaç cihaz durum tutabilir: yerel yönlendirici, yukarıdaki çevirici, bulut sınırı ve ana makinenin güvenlik duvarı. Her birinin kendi zamanlayıcısı vardır ve en kısa olan kazanır. Beş dakikalık bir kesinti genellikle bir cihazın diğerlerinden çok daha düşük yapılandırıldığı anlamına gelir.

Belgelenen varsayılanın yolunuzdaki zaman aşımı olduğunu varsaymayın. O, tek bir cihazın varsayılanıdır.

• Ev yönlendiricisi: çoğu zaman dakikalar, bazen çok daha az.
• Bulut NAT veya yük dengeleyici: UDP için özel olarak belgelenen boşta zaman aşımına bakın.
• Ana makinenin güvenlik duvarı: netfilter izleme zamanlayıcıları her akış için geçerlidir.

Zamanlayıcıları gerçek yolda kontrol edin

Linux'ta netfilter izleme zamanlayıcıları görünür ve ayarlanabilir: sysctl net.netfilter.nf_conntrack_udp_timeout ve net.netfilter.nf_conntrack_udp_timeout_stream. İkincisi trafik iki yönde de görüldükten sonra geçerlidir, bu yüzden kurulmuş bir tünel çıplak bir sınamadan daha uzun yaşayabilir.

RFC 4787 UDP NAT davranışını ve önerilen alt sınırları tanımlar. Bir satıcı varsayılanı olağandışı kısa göründüğünde alıntılanacak başvuru budur.

Keepalive ve yeniden bağlanma farklı araçlardır

Keepalive bir eşlemeyi canlı tutar; yeniden bağlanma ölü bir oturumu yeniden kurar. Farklı arızaları çözerler ve birbirinin yerine geçen hız ayarları değildirler. WireGuard'ın PersistentKeepalive seçeneği NAT bağını açık tutmak için sabit aralıkla paket gönderir. OpenVPN'in keepalive seçeneği aynı işi kendi yöntemiyle yapar. Ortadaki cihaz akışı zaten unutmuş ve iki yönü de düşürüyorsa hiçbiri yardımcı olmaz.

Aşırı sık sınamalar yanlış sınırı düzeltmeden iş ekler.

Sayfayı yenilemekle değil, yeni bir istekle doğrulayın

Bir zamanlayıcıyı değiştirdikten veya keepalive ekledikten sonra boşta senaryosunu tıpkı önceki gibi yineleyin. Ardından kapsanan uygulamadan gerçekten yeni bir istek yapın. Daha önce yüklenmiş bir tarayıcı sekmesi önbellekten görüntülenebilir ve size hiçbir şey söylemez.

Durma sürerse bir atlama dışarı çıkın ve o cihazın durum tablosunu kontrol edin.