Чому vpnc розриває з'єднання через 24 хвилини і що змінити

Ваш тунель падає через повторюваний інтервал, і це таймер повідомляє про себе, а не поганий кабель. Двадцять чотири хвилини — це 1440 секунд, типово кругле значення, яке несе профіль або політика центрального вузла. Далі та сама конфігурація щоразу відмовляє проти того самого концентратора, тоді як усі інші мережі працюють, і жодне тестування каналу цього не змінює.

Три умови визначають, який таймер ваш: чи здається клієнт на бездіяльній сесії, чи відхиляється обмін оновлення ключів і чи переписав транслюючий шлюз інкапсуляцію.

Який таймер володіє обривом

Виміряйте інтервал щонайменше на трьох перепідключеннях, перш ніж чіпати налаштування. Розкид у кілька секунд вказує на втрату каналу або бездротовий роумінг; значення, яке щоразу потрапляє в кілька секунд від тієї самої позначки, вказує на значення політики. Довжина сесії також каже, хто її завершив, бо тайм-аут на боці клієнта і видалення на боці сервера залишають різні останні рядки у виводі налагодження. Три перепідключення також показують, чи інтервал взагалі дрейфує, чого одне вимірювання показати не може.

Запишіть число поряд із тим центральним вузлом, з яким ви говорили. Коли інтервал стабілізується, залишиться вибір між трьома причинами, і саме одне змінене налаштування на кожне перепідключення дозволяє їх розрізняти.

Випадок перший: клієнт здається на бездіяльній сесії

vpnc виконує власну перевірку мертвого партнера, і ця перевірка може вбити сесію, яку концентратор ще вважає живою, особливо коли між ними стоїть транслюючий шлюз. Клієнтський засіб у документації — вимкнути таймер локально і дозволити центральному вузлу вирішувати, коли партнер зник. Обидва рядки нижче належать профілю vpnc або командному рядку, і обидва не залежать від налаштувань шифрування.

DPD idle timeout (our side) 0
NAT Traversal Mode cisco-udp

Вимкнення клієнтського DPD прибирає хибне спрацювання і водночас прибирає ваше єдине локальне виявлення, тому застосовуйте його окремо і дивіться, чи інтервал узагалі змінюється.

Випадок другий: оновлення ключів відхиляється

Якщо інтервал пережив зміну DPD, кандидатом стає оновлення ключів фази 1. Старіші збірки vpnc поводилися з оновленням менш обережно, ніж поточні, а звичайна розбіжність — група Diffie-Hellman. Примусове встановлення групи, яку центральний вузол уже приймає, коштує одного рядка і одного перепідключення, що робить це дешевим експериментом, а не зміною політики.

IKE DH Group dh5

Допустимі назви груп — dh1, dh2 і dh5. Група, яку концентратор відкидає, дає негайну відмову, і це теж інформація: вона каже, що центральний вузол вибагливий і що початкова група, ймовірно, була правильною.

Випадок третій: трансляція переписує інкапсуляцію

За транслюючим шлюзом UDP-інкапсуляція Cisco і режим на основі стандартів не взаємозамінні. Неправильний вибір часто дає тунель, який встановлюється, пропускає трафік і потім спливає під навантаженням, що читається як проблема пропускної здатності і нею не є. Змініть лише режим, потім перепідключіться і знову заміряйте обрив. Пробуйте інший режим лише після того, як перші два випадки виключено.

Фронтенди додають тут власної плутанини. NetworkManager не запропонує тип з'єднання vpnc, доки не встановлено пакет плагіна, а відсутній плагін виглядає як сіра кнопка «Додати», а не як помилка. Фронтенд KDE зберігає ті самі значення у власному профілі, тому переконайтеся, що демон читає те, що ви відредагували.

Профіль, який добре підключається з командного рядка, але не з робочого столу, — це проблема фронтенду, а не таймера.

Перевірте обмін, який збоїть, до третьої зміни

Запустіть клієнт із виводом налагодження і прочитайте останній обмін перед обривом. Видалення фази 1 безпосередньо перед від'єднанням означає, що клієнт оновив ключі і отримав відмову. Видалення фази 2 у тому самому місці означає, що тунель було розібрано з іншого боку, і ваші клієнтські налаштування не причина.

vpnc --debug 3 office

Також перевірте другий мережевий демон, коли тунель виживає, але трафік зупиняється. Два менеджери, що пишуть таблицю маршрутизації, дають той самий симптом з робочого столу і зовсім інший журнал.