Скорочення таймера DPD не пришвидшить перемикання VPN

Тунелі падають, відновлення триває дев'яносто секунд, а таймер мертвого партнера встановлено на десять, тому звинувачують таймер. Це міркування пропускає три етапи, які відбуваються після виявлення і зазвичай займають більшу частину часу. Виявлення живучості помічає тишу; потім вибір партнера, автентифікація, встановлення маршруту та перепідключення застосунку по черзі беруть своє. Скорочення першого етапу не може скоротити інші, і воно може додати метушні системі, яка й так ледве справлялася.

Чотири етапи, один з яких можна виміряти

Запишіть відновлення як чотири події з позначками часу. Відмова стає спостережуваною: останній корисний захищений трафік і перший невдалий запит. Відповідальний механізм реагує: виявлення живучості, монітор маршруту або інший задокументований тригер. Альтернатива стає придатною: вибір партнера, автентифікація, нова асоціація та маршрут, який справді несе потрібний трафік. Застосунок відновлюється: нова операція вдається, а те, що було в роботі, має визначений результат.

Правила живучості IKEv2 описують свідчення про партнера та його обміни й нічого не кажуть про базу даних або файлову службу за цим партнером. Читати завершення живучості як перевірку здоров'я всього шляху — це помилка, з якої починається полювання на таймер.

Чому таймер — найменш цікаве число

Налаштовані значення не є взаємозамінними одиницями. Деякі з них — інтервали повторних спроб, деякі — верхні межі спроби, а деякі працюють паралельно з іншими. Їх додавання дає число, яке виглядає як прогноз, а поводиться як чутка. Прочитайте документацію для поля, яке збираєтеся змінити, і зазначте, який із трьох це тип.

Інші етапи зовсім не таймери. Затримка перепідключення, інтерактивний запит автентифікації або клієнт, який переглядає конфігурацію лише під час перезапуску, можуть кожен домінувати в простої, поки кожен таймер протоколу спокійно стоїть низько.

Виміряйте той етап, який справді повільний

Зафіксуйте відмову один раз, з позначками часу з обох боків, а потім порівняйте чотири події, а не власні лічильники протоколу. Одне правильно проведене вікно спостереження краще за місяць налаштування.

ip -4 route get 203.0.113.10
tcpdump -ni any -c 20 "esp or icmp"

Якщо альтернативна кінцева точка ніколи не відповідає, жодна зміна таймера не допоможе, бо недосяжність — не проблема виявлення. Якщо новий стан безпеки формується швидко, але маршрут досі вказує на мертвий шлях, проблема в установленні маршруту, і ще одне коригування живучості лише додає метушні.

Альтернатива має бути вже придатною

Резервна копія, визначена в конфігурації, — не робоча резервна копія. Вона має бути досяжною з поточної мережі клієнта, уміти автентифікувати ту саму особу і мати дозвіл нести той самий трафік за тією самою політикою. Виявте будь-яку з цих трьох прогалин під час простою, і розмова про таймер стане недоречною. Перевіряйте альтернативу, поки основна здорова, бо це єдиний час, коли можна читати обидва журнали поруч.

Підготуйте альтернативу заздалегідь, навмисно перевірте її, поки основна здорова, і запишіть, який із чотирьох етапів забирає час. Саме цей запис робить наступну зміну вимірюванням, а не здогадом.

Метушня повернення і шлях керування

Відновлення основної — окреме рішення. Агресивне повернення може перервати роботу, яка вже відновилася на резерві, а тремтливий шлях може виглядати як нестабільний тунель, коли справжня несправність — маршрут, який коливається між двома рівними варіантами.

Два шляхи рівної вартості без переваги — звичайне джерело видимого тремтіння, бо кожен монітор реагує на вибір іншого. Вирішіть, який шлях є бажаним за нормальних умов, і зробіть цю перевагу явною в конфігурації, а не залишайте її порядку маршрутів. Заздалегідь визначте бажану поведінку повернення і того, хто нею володіє. Зберігайте попередні налаштування та незалежний шлях керування, бо зміна, яка позбавляє вас власного доступу під час простою, перетворює мережевий інцидент на виїзд на місце.

Потім повторіть те саме навантаження і порівняйте ті самі чотири позначки часу. Коротше відновлення, яке все ще змушує застосунок чекати на той самий відсутній маршрут або вхід, — не прогрес, а інше число на тому самому графіку.