Vì sao VPN của bạn rớt mỗi lần khóa được luân chuyển

Kết nối chạy được một giờ rồi chết, và máy khách không báo cáo gì hữu ích hơn disconnected. Chính khoảng thời gian đó là manh mối, vì có gì đó trong trao đổi gia hạn khác với bắt tay ban đầu. Bộ đếm thời gian chỉ quyết định khi nào bạn gặp nó. Hãy lưu các thông điệp của trao đổi đó thay vì nhãn cuối cùng.

Đọc giai đoạn, không phải nhãn

Trong IKEv2, liên kết IKE và liên kết CHILD được gia hạn theo lịch riêng. Một đề xuất được chấp nhận cho lần thương lượng đầu không tự động được chấp nhận cho lần thứ hai. Một bên có thể hoàn tất trong khi bên kia bị từ chối, tạo ra một đường hầm tồn tại một nửa. Ghi lại trao đổi bằng công cụ sở hữu nó thay vì một dòng nhật ký máy khách:

swanctl --list-sas
swanctl --log --level 2
ip xfrm state list

Với OpenVPN, sự kiện tương đương là một lần thương lượng lại do phiên bản và cài đặt triển khai chi phối. Hành vi xác thực của nó có các chế độ lỗi riêng. Thông điệp quan trọng nêu tên giai đoạn thất bại, và bạn nên ghi lại nguyên văn thay vì diễn giải lại trong phiếu sự cố.

Cũng hãy ghi lại dấu thời gian. Rớt đúng khoảng cố định sau lần thương lượng thành công cuối cùng là một phát hiện rất khác so với rớt ngẫu nhiên khi đang dùng, và khoảng đó thường là bằng chứng duy nhất còn lại.

So sánh đề xuất bị thất bại

Một đề xuất bị từ chối tạo ra thông điệp rõ ràng ở bên trả lời. Nguyên nhân thường gặp là khác biệt giữa hai đầu về thuật toán, độ dài khóa, nhóm hoặc thời hạn. Lần thương lượng CHILD đầu có thể thành công vì bên kia khởi tạo, nghĩa là danh sách đề xuất của bên kia được dùng. Hãy xem cả hai đầu trước khi thay đổi bất cứ điều gì.

Sự khác biệt về thời hạn đáng được chú ý đặc biệt, vì một giá trị trông hào phóng ở một đầu có thể khiến đầu kia bắt đầu một lần gia hạn mà nó không thể hoàn tất. Tài liệu về hành vi đổi khóa mô tả cách kích hoạt gia hạn liên kết và cách hai đầu có thể khác nhau trong kỳ vọng thời gian. Hãy so sánh điều mỗi đầu tuyên bố hỗ trợ thay vì điều tệp cấu hình gợi ý.

Một hồ sơ cũ hoặc mẫu nhà cung cấp có thể ghim một đề xuất mà bản phát hành hiện tại không còn cung cấp. Sự khác biệt chỉ lộ ra khi buộc phải thương lượng mới.

Tách vấn đề thông tin xác thực khỏi một đối tác không thể tiếp cận

Một lần gia hạn thất bại ở xác thực trông giống nhau ở máy khách và hoàn toàn khác ở máy chủ. Nếu thông tin xác thực được kiểm tra lại khi thương lượng lại, chứng chỉ hết hạn, tài khoản bị thu hồi hoặc mật khẩu bị đổi sẽ tạo ra rớt đúng khoảng gia hạn trong khi mọi kết nối trước đó đều thành công. Đối tác không thể tiếp cận là khả năng thứ ba, và nó không tạo ra từ chối nào: gói tin đi ra và không gì trả lời. Trường hợp đó thường đi theo thay đổi mạng chứ không phải bộ đếm thời gian, nên hãy kiểm tra xem lỗi có đến sau chuyển vùng, thời gian nhàn rỗi hay thay đổi tuyến đường.

Phân biệt ba trường hợp bằng điều đầu xa ghi nhận. Từ chối kèm lý do, lỗi xác thực và im lặng là ba cách khắc phục khác nhau. Khởi động lại máy khách gộp chúng thành một quan sát vô ích.

Kiểm tra ngày chứng chỉ và trạng thái tài khoản trước khi đổ lỗi cho mạng. Cả hai đều rẻ để kiểm tra và cả hai đều vô hình trong thông điệp của chính máy khách.

Buộc một lần gia hạn và đọc kết quả

Buộc một lần gia hạn bằng phương thức được nhà vận hành hỗ trợ thay vì chờ một giờ cho lần tiếp theo. Giữ nguyên chính sách thất bại bắt buộc trong khi làm việc đó. Tắt xác minh hoặc kéo dài thời hạn thành một ngày khiến triệu chứng biến mất khỏi nhật ký mà không sửa gì. Nó cũng để lại một gián đoạn dài hơn cho người tiếp theo.

Khi bản sửa đã vào vị trí, hãy kiểm tra đường hầm đã gia hạn rồi gửi yêu cầu mới từ ứng dụng. Một phiên ứng dụng còn sống khi liên kết thay đổi có thể cần tự phục hồi dù đường hầm đã khỏe lại. Người dùng sẽ báo cáo đó là VPN vẫn hỏng.

Ghi lại phiên bản phát hành, các bộ đếm thời gian đã thương lượng và giai đoạn thất bại. Lần tái diễn tiếp theo khi đó có thể so sánh với lần này thay vì mô tả lại từ trí nhớ.