Bir Azure OpenVPN tüneli neden yaklaşık her altmış saniyede bir düşüyor

Tünel el sıkışmasını tamamlar, yaklaşık bir dakika trafik taşır ve sonra yeniden bağlanır. Bu sıralama olağan şüpheliyi eler, çünkü bağlantı noktasını engelleyen bir güvenlik duvarı oturumu değil el sıkışmasını durdururdu. Elinizde olan şey canlılık konusunda bir anlaşmazlıktır: bir taraf diğerinin sustuğuna karar verip çalışan bir tüneli yıktı. Günlük satırı hangi taraf olduğunu söyler ve düzeltmeyi o seçer.

Herhangi bir zamanlayıcıya dokunmadan önce o satırı okuyun.

Efsane: yoldaki bir şey tüneli engelliyor

Bir bağlantı noktası engellenseydi bağlantı başta başarısız olur ve başarısız kalırdı. Tekrarlanan bir döngü, denetim iletilerinin aktığını, oturumların kurulduğunu ve konuşmanın ilerisinde bir şeyin sürekli süresinin dolduğunu gösterir. Engelleme sessizlik üretir, bu ise ritim üretir.

Ritim yararlı ipucudur. Onu zamanlayıcılar üretir; paket kaybı nadiren.

Bağlantı kesilme nedenini zamanlayıcıdan önce okuyun

OpenVPN nedenini adlandırır ve her ad farklı bir alt sisteme işaret eder. Session invalidated: KEEPALIVE_TIMEOUT süresi dolan bir zamanlayıcıdır, bu yüzden iki uçtaki ping ve ping-restart değerlerini karşılaştırın. AUTH_FAILED kimlik bilgileri veya sertifika durumudur ve hiçbir zamanlayıcı değişikliği yardımcı olmaz. Bir TLS hatası, tarafların keepalive aşamasına hiç ulaşmadığı anlamına gelir.

Bağlantı zamanını, kesilme zamanını ve aralığın saniyesine kadar kararlı olup olmadığını kaydedin. Bu tek ölçüm, yapılandırılmış bir zamanlamayı rastlantıdan ayırır.

Kararlı aralık bir zamanlayıcıdır. Kayan aralık daha çok bir yol sorunu veya yer değiştirmiş oturumdur.

Hiç anlaşamayan iki keepalive zamanlayıcısı

Portaldan dışa aktarılan profiller bazen bir topluluk sunucusu şablonundan kopyalanmış keepalive veya ping-restart satırlarını hâlâ taşır. Ağ geçidi kendi ölü eş algılamasını çalıştırır ve kendi beklentilerini dayatır; iki zamanlamanın eşleşmesi gerekmez. Uyuşmadıklarında istemci, ağ geçidinin hiç kabul etmediği bir zamanlamaya göre yeniden başlar.

İki değer aynı denetim değildir. ping istemcinin ne sıklıkla yankı gönderdiğidir, ping-restart ise tüneli yıkmadan önce hiçbir şey duymadan ne kadar beklediğidir. Kısa ping-restart ayarlayan bir profil ile yavaş yanıt veren bir ağ geçidi her sessiz dönemde yeniden başlar ki bu tam olarak bir dakikalık döngünün biçimidir.

İstemci tarafındaki en küçük değişiklik, zamanlayıcıları profilin en üst düzeyinde, her satır içi bloğun dışında etkisizleştirmektir:

keepalive 0 0

Kaydedin, profili yeniden yükleyin, yeniden bağlanın. Bellekte zaten bulunan bir oturum eski değerleri korur, bu yüzden düzenleme bazen hiçbir şey yapmamış gibi görünür.

Sertifika adı ayaklarınızın altından kayabilir

Azure sertifika kimlik doğrulaması, istemcinin ağ geçidinin bugün sunduğu ada güvenip güvenmesine bağlıdır. Eski bir indirmedeki verify-x509-name satırı, ağ geçidinin yeniden oluşturulmasının veya sertifika yenilemesinin o zamandan beri değiştirdiği bir adı sabitleyebilir ve uyuşmazlık net bir hata yerine yeniden bağlanma döngüsü olarak görünür. Satırı silmek bağlantıyı geri getirir, bu da onu iyi bir tanı ve kötü bir kalıcı düzeltme yapar, çünkü doğrulamayı da kaldırır. Tünel tutunduktan sonra satırı ağ geçidinin gerçekten sunduğu adla geri yükleyin.

Ağ geçidini düzenlemeden önce aynı makinede ikinci bir istemci neslini deneyin. Biri döngüye giriyorsa diğeri tutunuyorsa sorun profil değildir.

Neyin değiştirileceği ve hangi sırayla

Ardından yer değiştirmiş bir oturum olup olmadığına bakın. Tek bir sertifikayı paylaşan iki cihaz birbirini dışarı itebilir ve sonuç düzenli görünür çünkü iki taraf da yeniden bağlanmaya devam eder. Aynı kimliğin tekrar tekrar göründüğü noktadan siteye oturum kayıtlarını karşılaştırın.

Sonra birkaç dakika kesintisiz trafik çalıştırarak boş yolu deneyin. Trafik akarken düşüşler duruyorsa önemli zamanlayıcı OpenVPN'e değil, yoldaki bir NAT cihazına veya yük dengeleyiciye aittir.

Ağ geçidi ayarları ancak bu dört testten sonra değiştirilmelidir.