VPN відключається через однаковий інтервал? Зіставте таймер
Обрив через фіксований інтервал — це відбиток. Перш ніж щось змінювати, порівняйте переоновлення ключів тунелю, таймер простою NAT, оренду DHCP і ліміт облікового запису.
Тунель, який умирає кожні п'ятнадцять хвилин або щогодини в ту саму хвилину, каже, що минув якийсь таймер, а не що мережа нестабільна. Корисний крок — записати інтервал і порівняти його з чотирма таймерами, які дають цю картину. Зміна тайм-аутів до цього порівняння зазвичай переносить збій, не пояснюючи його, через що наступний випадок читати важче, ніж перший. Вимірювання займає десять хвилин і замінює тиждень здогадок.
Перетворіть інтервал на число
Зберіть п'ять або шість випадків і обчисліть розрив між ними, а не від початку дня. Обрив о 09:12, 10:12 і 11:12 — це годинна межа; обрив о 09:12, 09:27 і 09:42 — це п'ятнадцять хвилин від останнього успішного підключення. Округліть результат до найімовірнішого таймера, а не до найближчої хвилини.
Запишіть два моменти на подію: коли трафік востаннє рухався і коли клієнт повідомив про відключення. Вони різняться, коли тунель умирає тихо і клієнт помічає це лише під час наступного надсилання, і саме ця різниця відокремлює тайм-аут простою від жорсткого збою. Клієнт, який помічає пізно, роздуває вимірюване вікно простою.
Зверніть увагу, чи автоматичне перепідключення. Клієнт, який перепідключається за секунди, тримає інтервал видимим у журналі й поза звітом користувача, тому ці збої часто описують як випадкові, а не періодичні. Він також приховує подію від людини, яка користується ноутбуком.
Чотири таймери, які виглядають однаково
Майже кожен повторюваний обрив тунелю походить від одного з цих: переоновлення ключів протоколу, закінчення простоювального зіставлення, подія DHCP або інтерфейсу, чи політика облікового запису. Вони різняться тим, чи йшов трафік, і тим, що журнал каже на межі.
Підписи нижче варто вивчити, бо вони дають змогу відхилити три пояснення за одним рядком журналу:
| Timer | Typical trigger | What the log shows at the boundary |
|---|---|---|
| Protocol rekey | Traffic present, fixed interval | Negotiation lines, sometimes a failure |
| NAT or firewall idle | No traffic for minutes | Silence, then a timeout on send |
| DHCP lease or link change | Half the lease, or a radio event | Address or interface churn |
| Account session limit | Wall-clock hours since login | Clean disconnect, server-side reason |
Перший рядок — це механізм безпеки, що виконує свою роботу, а другий — проміжний пристрій, який забуває стан. Їхнє змішування веде або до ослаблення переоновлення, або до гонитви за правилом брандмауера, яке ніколи не брало участі.
Зайнятість проти простою каже, яка половина
Проведіть контрольоване порівняння з безперервним трафіком, наприклад довгим потоком до хоста всередині тунелю, і спостерігайте, чи змінюється інтервал. Якщо обрив зникає, поки йдуть дані, таймер оснований на простої.
Якщо він витримує безперервний трафік, причина належить до переоновлення, оренди або політики. Цей єдиний тест прибирає половину кандидатів приблизно за годину спостереження, і він не коштує нічого, крім уваги.
Тримайте мережу доступу незмінною під час тесту. Перемикання між Wi-Fi і Ethernet посеред порівняння вносить саме ту подію інтерфейсу, яку ви намагаєтеся відрізнити від таймера.
Зіставте рядок журналу з межею
Читайте журнали клієнта й сервера навколо зафіксованого моменту, а не весь файл. Переоновлення показує переговори; закінчення простою нічого не показує до наступного пакета; зміна оренди показує роботу з адресою; ліміт політики зазвичай показує чисте адміністративне відключення.
Ці команди витягають потрібне вікно з кожного джерела:
grep -iE "reneg|TLS Error|Inactivity" /var/log/openvpn.log | tail -20
journalctl -u NetworkManager --since "-90 min" | grep -iE "dhcp|link"
wg showЯкщо три джерела збігаються за міткою часу, ви знаєте власника таймера. Якщо щось є лише в журналі клієнта, сервер, імовірно, не той, хто завершує сеанс.
Виправте етап, а не значок
Кожен власник має одне підтримуване виправлення. Збій переоновлення потребує сумісних пропозицій на обох кінцях. Закінчення простою потребує сигналу підтримання або коротшого очікування простою, у межах, які дозволяє шлях. Подія оренди потребує виправлення налаштувань інтерфейсу або живлення. Ліміт облікового запису — це рішення політики, а не помилка.
Вимкнення переоновлення або автентифікації, щоб значок залишався зеленим, міняє видимий обрив на невидиму слабкість і залишає вас без можливості сказати, коли тунель востаннє узгоджував нові ключі. Після цього повторіть тест початкової тривалості та збережіть мітки часу, щоб наступну подію можна було порівняти з цією, а не починати заново.