OpenVPN não pode alcançar os outros depois de um tempo

Question

Estou usando o OpenVPN em uma máquina Debian 8 para proteger alguns sites de configuração do meu servidor. Eu usei o HOWTO oficial do site da comunidade. Depois de iniciar o serviço, tudo funciona bem, mas apenas por um tempo. Demora cerca de 2 dias que não consigo mais acessar / pingar o host enquanto ainda consigo estabelecer a conexão VPN.

Não tenho ideia do tipo de configuração que pode causar isso. Espero que isso seja apenas um erro na configuração do OpenVPN que eu não estou vendo atm.

server.conf:

port XXXX
proto udp
dev tun

ca  /etc/openvpn/easy-rsa/keys/ca.crt
cert    /etc/openvpn/easy-rsa/keys/server.crt
key /etc/openvpn/easy-rsa/keys/server.key
dh  /etc/openvpn/easy-rsa/keys/dh2048.pem

server 10.9.8.0 255.255.255.0
route 10.9.8.0 255.255.255.0

ifconfig-pool-persist ipp.txt

push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"

client-to-client

keepalive 10 120
comp-lzo
max-clients 10
user nobody
group nogroup
persist-key
persist-tun
status /etc/openvpn/openvpn-status.log
log openvpn.log
verb 3

client.ovpn: (Windows 10 Pro)

client
dev tun
proto udp

remote myhostname.net XXXX             # VPN server IP : PORT
nobind

ca      "ca.crt"
cert    "client.crt"
key     "client.key"

comp-lzo
persist-key
persist-tun

remote-cert-tls server
verb 3

Por favor, sinta-se à vontade para perguntar por qualquer configuração / arquivo de log que você acha que possa causar um comportamento como este. Agradecemos antecipadamente por qualquer dica!

    

Answer 1

Ele não responde à sua pergunta (seria difícil dizer o que pode estar causando o tempo limite sem uma captura de pacote), mas há várias opções no arquivo de configuração para reiniciar uma conexão se ela parar de transmitir tráfego. Por exemplo: ping-restart irá reiniciar o túnel VPN se parar de passar tráfego (ping):

ping 30 e ping-restart 300

Em um cliente, isso verificará a conexão do servidor pelo canal de controle se nenhum tráfego (além de negociação de chave ou sobrecarga de TLS) tiver passado em 30 segundos (a linha ping 30 ) e reiniciar a conexão após 5 minutos de "pings" malsucedidos (note que estes não são pings ICMP ...) Em uma configuração do servidor, isso monitora cada conexão do cliente separadamente, não reinicia todo o processo do servidor.