VPN aynı aralıkta mı kopuyor? Zamanlayıcıyı eşleştirin
Sabit aralıklı kopma bir parmak izidir. Herhangi bir şeyi değiştirmeden önce tünelin anahtar yenilemesini, NAT boşta kalma zamanlayıcısını, DHCP kiralamasını ve hesap sınırını karşılaştırın.
Her on beş dakikada bir ya da her saat aynı dakikada ölen bir tünel, ağın dengesiz olduğunu değil, bir zamanlayıcının dolduğunu söyler. Yararlı hamle aralığı yazmak ve bu deseni üreten dört zamanlayıcıyla karşılaştırmaktır. Bu karşılaştırmadan önce zaman aşımlarını değiştirmek genellikle hatayı açıklamadan taşır, bu da sonraki olayı ilkinden daha zor okunur kılar. Ölçüm on dakika sürer ve bir haftalık tahminin yerini alır.
Aralığı sayıya dönüştürün
Beş ya da altı olay toplayın ve aralarındaki boşluğu hesaplayın, günün başından itibaren olan boşluğu değil. 09:12, 10:12 ve 11:12'deki kopma saat sınırıdır; 09:12, 09:27 ve 09:42'deki kopma son başarılı bağlantıdan on beş dakikadır. Sonucu en yakın dakikaya değil, en olası zamanlayıcıya yuvarlayın.
Her olay için iki an kaydedin: trafiğin son hareket ettiği an ve istemcinin kopmayı bildirdiği an. Tünel sessizce ölüp istemci bunu ancak bir sonraki gönderimde fark ettiğinde bu ikisi ayrışır ve bu fark boşta kalma zaman aşımını sert arızadan ayırır. Geç fark eden istemci ölçtüğünüz boşta kalma penceresini şişirir.
Yeniden bağlanmanın otomatik olup olmadığına dikkat edin. Saniyeler içinde yeniden bağlanan bir istemci aralığı günlükte görünür ve kullanıcı raporunun dışında tutar, bu yüzden bu arızalar sıklıkla periyodik değil ara sıra diye tanımlanır. Ayrıca olayı dizüstü bilgisayarı kullanan kişiden saklar.
Birbirine benzeyen dört zamanlayıcı
Neredeyse her yinelenen tünel düşüşü şunlardan birinden gelir: protokol anahtar yenilemesi, boşta eşlemenin süresi dolması, bir DHCP veya arabirim olayı ya da hesap ilkesi. Trafiğin akıp akmadığına ve günlüğün sınırda ne dediğine göre ayrışırlar.
Aşağıdaki imzalar öğrenmeye değer, çünkü tek bir günlük satırından üç açıklamayı reddetmenizi sağlar:
| Timer | Typical trigger | What the log shows at the boundary |
|---|---|---|
| Protocol rekey | Traffic present, fixed interval | Negotiation lines, sometimes a failure |
| NAT or firewall idle | No traffic for minutes | Silence, then a timeout on send |
| DHCP lease or link change | Half the lease, or a radio event | Address or interface churn |
| Account session limit | Wall-clock hours since login | Clean disconnect, server-side reason |
İlk satır işini yapan bir güvenlik mekanizması, ikincisi ise durumu unutan bir ara cihazdır. İkisini karıştırmak ya anahtar yenilemesini zayıflatmaya ya da hiç ilgisi olmayan bir güvenlik duvarı kuralının peşinden gitmeye yol açar.
Meşgul ile boşta hangi yarı olduğunu söyler
Sürekli trafikle kontrollü bir karşılaştırma yapın, örneğin tünel içindeki bir konağa uzun bir akış, ve aralığın değişip değişmediğine bakın. Veri akarken kopma kaybolursa zamanlayıcı boşta kalmaya dayalıdır.
Sürekli trafiğe dayanırsa neden anahtar yenilemesi, kiralama veya ilkeye aittir. Bu tek test yaklaşık bir saatlik gözlemde adayların yarısını eler ve dikkat dışında hiçbir şeye mal olmaz.
Test sırasında erişim ağını değiştirmeyin. Karşılaştırmanın ortasında Wi-Fi ile Ethernet arasında geçiş yapmak, zamanlayıcıdan ayırmaya çalıştığınız arabirim olayını tam olarak getirir.
Günlük satırını sınırla eşleştirin
Kaydedilen anın çevresindeki istemci ve sunucu günlüklerini okuyun, dosyanın tamamını değil. Anahtar yenilemesi müzakere gösterir; boşta kalma süresinin dolması bir sonraki pakete kadar hiçbir şey göstermez; kiralama değişikliği adres işi gösterir; ilke sınırı genellikle temiz bir yönetici bağlantı kesilmesi gösterir.
Bu komutlar her kaynaktan ilgili pencereyi çeker:
grep -iE "reneg|TLS Error|Inactivity" /var/log/openvpn.log | tail -20
journalctl -u NetworkManager --since "-90 min" | grep -iE "dhcp|link"
wg showÜç kaynak zaman damgasında anlaşırsa zamanlayıcının sahibini bilirsiniz. Yalnızca istemci günlüğünde bir şey varsa oturumu sonlandıran taraf muhtemelen sunucu değildir.
Aşamayı onarın, simgeyi değil
Her sahibin desteklenen tek bir onarımı vardır. Anahtar yenilemesi arızası iki uçta uyumlu teklifler gerektirir. Boşta kalma süresinin dolması yolun izin verdiği ölçüde bir canlılık sinyali veya daha kısa bir boşta beklenti gerektirir. Kiralama olayı arabirim veya güç ayarlarının düzeltilmesini gerektirir. Hesap sınırı bir ilke kararıdır, hata değil.
Simgeyi yeşil tutmak için anahtar yenilemesini veya kimlik doğrulamayı kapatmak görünür bir kopmayı görünmez bir zayıflıkla değiştirir ve tünelin en son ne zaman yeni anahtarlar üzerinde anlaştığını söyleme olanağını bırakmaz. Ardından özgün süreyi yeniden test edin ve zaman damgalarını saklayın, böylece sonraki olay sıfırdan başlamak yerine bununla karşılaştırılabilir.