Архитектура механизма Dead Peer Detection (RFC 3706) и отказ DPD_TIMEOUT

Механизм Dead Peer Detection (DPD / RFC 3706 / RFC 7296) предназначен для непрерывного контроля доступности удаленного шлюза на уровне протокола IKE. При отсутствии полезного трафика стороны обмениваются периодическими эхо-запросами IKE DPD: R-U-THERE (в IKEv2 — пустые информационные сообщения INFORMATIONAL Request/Response). Событие DPD_TIMEOUT (Dead Peer Detection packet timeout) генерируется, когда инициатор проверки не получает ответное подтверждение R-U-THERE-ACK в течение заданного интервала после отправки предельного числа повторных попыток (DPD Maximum Failures / Retries). Контроллер фиксирует физический обрыв канала (Link Down), аварийно уничтожает ассоциации безопасности (SA Flush) и запускает сценарий восстановления (Clear / Restart / Failover).

Бизнес-риски

Полный разрыв VPN-туннеля при кратковременных потерях пакетов у интернет-провайдера, «зависание» филиалов без автоматического переключения на резервный канал LTE/Backup, разрыв голосовых сессий VoIP.

Параметры механизма Dead Peer Detection (DPD)

Пошаговый регламент устранения сбоев DPD Timeout

Сценарий 1: Тонкая настройка таймингов DPD на маршрутизаторах

На нестабильных каналах связи (LTE/4G, спутниковые каналы, радиомосты) агрессивные тайминги DPD вызывают ложные разрывы соединений. Увеличьте пороги отказоустойчивости:

# Оптимизация профиля DPD на MikroTik RouterOS v7
/ip ipsec profile set [find name="PROFILE_SITE_B"] \
    dpd-interval=15s dpd-maximum-failures=5

# Оптимизация DPD в strongSwan (/etc/swanctl/swanctl.conf)
connections {
   site-a-to-b {
      dpd_delay = 20s
      dpd_timeout = 60s
      dpd_action = restart
   }
}

Сценарий 2: Диагностика прохождения пакетов UDP 500 / 4500 и NAT Keepalive

Если шлюз находится за NAT, промежуточный роутер провайдера может сбрасывать UDP-сессию из-за короткого времени жизни трансляции (NAT State Timeout, обычно 30 секунд для UDP):

# Принудительное включение NAT-Traversing и учащенного NAT Keepalive
/ip ipsec profile set [find] nat-traversal=yes

# Проверка наличия входящих DPD пакетов через встроенный Packet Sniffer
/tool sniffer quick ip-protocol=udp port=4500 interface=ether1

Сценарий 3: Настройка автоматического переключения на резервный канал (IPsec Failover)

# Скрипт Netwatch для контроля туннеля и мгновенного перезапуска при DPD Timeout
/tool netwatch add host=192.168.20.1 interval=10s timeout=2s \
    down-script="/ip ipsec active-peers kill-connections [find]; :log error 'VPN Down -> Force Reset'"

Типовые ошибки администраторов

• Полное отключение DPD (dpd-interval=disable): При физическом обрыве кабеля провайдера шлюз будет часами отправлять данные в «мертвый» туннель, не зная, что противоположный узел недоступен.
• Установка dpd-interval=2s на загруженных CPU устройствах: Малейший скачок утилизации процессора приводит к ложному таймауту и бесконечному циклу перезапуска VPN.