Vì sao vpnc ngắt kết nối ở phút thứ 24 và cần đổi gì

Đường hầm của bạn chết theo một khoảng lặp lại, và đó là bộ hẹn giờ tự báo cáo chứ không phải cáp hỏng. Hai mươi bốn phút là 1440 giây, kiểu giá trị tròn mà một hồ sơ hay chính sách ở đầu trung tâm mang theo. Sau đó cùng cấu hình ấy thất bại với cùng bộ tập trung mỗi lần trong khi mọi mạng khác vẫn chạy, và không mức thử liên kết nào thay đổi được điều đó.

Ba điều kiện quyết định bộ hẹn giờ nào là của bạn: liệu máy khách có bỏ một phiên không hoạt động, liệu trao đổi làm mới khóa có bị từ chối, và liệu một cổng chuyển dịch có viết lại phần đóng gói.

Bộ hẹn giờ nào sở hữu lần rớt

Đo khoảng thời gian qua ít nhất ba lần kết nối lại trước khi chạm vào một thiết lập. Độ tản vài giây chỉ ra mất liên kết hoặc chuyển vùng không dây; một giá trị rơi mỗi lần trong vài giây quanh cùng một mốc chỉ ra một giá trị chính sách. Độ dài phiên cũng cho biết ai đã kết thúc nó, vì hết thời gian phía máy khách và việc xóa phía máy chủ để lại những dòng cuối khác nhau trong đầu ra gỡ lỗi. Ba lần kết nối lại cũng cho thấy khoảng đó có trôi hay không, điều mà một lần đo không thể cho thấy.

Ghi con số bên cạnh đầu trung tâm mà bạn đã nói chuyện. Khi khoảng đã ổn định, việc còn lại là chọn giữa ba nguyên nhân, và đổi một thiết lập mỗi lần kết nối lại là điều giữ chúng phân biệt được.

Trường hợp một: máy khách bỏ một phiên không hoạt động

vpnc chạy kiểm tra đồng đẳng chết của riêng nó, và kiểm tra đó có thể giết một phiên mà bộ tập trung vẫn tin là còn sống, nhất là khi có một cổng chuyển dịch ngồi giữa hai bên. Cách khắc phục phía máy khách trong tài liệu là tắt bộ hẹn giờ tại chỗ và để đầu trung tâm quyết định khi nào một đồng đẳng đã biến mất. Hai dòng dưới đây đều thuộc hồ sơ vpnc hoặc dòng lệnh, và cả hai đều độc lập với các thiết lập mã hóa.

DPD idle timeout (our side) 0
NAT Traversal Mode cisco-udp

Tắt DPD phía máy khách loại bỏ một báo động sai và cũng loại bỏ phát hiện cục bộ duy nhất của bạn, nên hãy áp dụng riêng nó và xem khoảng có thay đổi gì không.

Trường hợp hai: việc làm mới khóa bị từ chối

Nếu khoảng sống sót qua thay đổi DPD, việc làm mới khóa ở pha 1 trở thành ứng viên. Các bản vpnc cũ xử lý việc làm mới kém cẩn thận hơn bản hiện tại, và bất đồng thường gặp là nhóm Diffie-Hellman. Việc ép một nhóm mà đầu trung tâm đã chấp nhận chỉ tốn một dòng và một lần kết nối lại, khiến nó thành thử nghiệm rẻ chứ không phải thay đổi chính sách.

IKE DH Group dh5

Các tên nhóm hợp lệ là dh1, dh2 và dh5. Một nhóm bị bộ tập trung từ chối tạo thất bại ngay lập tức, và đó vẫn là thông tin: nó cho biết đầu trung tâm khó tính và nhóm ban đầu có lẽ đã đúng.

Trường hợp ba: chuyển dịch viết lại phần đóng gói

Phía sau một cổng chuyển dịch, phần đóng gói UDP của Cisco và chế độ dựa trên tiêu chuẩn không thể hoán đổi. Lựa chọn sai thường tạo ra một đường hầm được thiết lập, cho lưu lượng đi qua rồi hết hạn dưới tải, điều đọc như một vấn đề băng thông và không phải vậy. Chỉ đổi chế độ, rồi kết nối lại và đo lại lần rớt. Chỉ thử chế độ kia sau khi hai trường hợp đầu đã bị loại.

Các giao diện phía trước thêm sự rối của riêng chúng ở đây. NetworkManager sẽ không cung cấp kiểu kết nối vpnc cho đến khi gói plugin được cài, và plugin thiếu hiện ra như một nút Thêm bị xám chứ không phải lỗi. Giao diện KDE giữ cùng các giá trị trong hồ sơ riêng, nên hãy xác nhận daemon đọc thứ bạn đã sửa.

Một hồ sơ kết nối tốt từ dòng lệnh nhưng không từ màn hình là vấn đề giao diện, không phải vấn đề bộ hẹn giờ.

Xác minh trao đổi thất bại trước lần thay đổi thứ ba

Chạy máy khách với đầu ra gỡ lỗi và đọc trao đổi cuối trước khi rớt. Một lần xóa pha 1 ngay trước khi ngắt nghĩa là máy khách đã làm mới khóa và bị từ chối. Một lần xóa pha 2 ở cùng điểm nghĩa là đường hầm bị tháo từ phía bên kia, và các thiết lập máy khách của bạn không phải nguyên nhân.

vpnc --debug 3 office

Cũng kiểm tra một daemon mạng thứ hai khi đường hầm sống nhưng lưu lượng dừng. Hai trình quản lý cùng ghi bảng định tuyến tạo ra cùng triệu chứng từ màn hình và một nhật ký hoàn toàn khác.