Die openbare IP het verander en die VPN het opgehou om verkeer deur te laat

’n Herverbinding by die ISP of ’n verandering in stroomop-vertaling verander die openbare bron van ’n VPN-sessie, en die kliënt se plaaslike privaat adres bly gewoonlik presies soos dit was. Die tonnel lyk dan verbind terwyl niks nuttigs daar deur gaan nie. Albei waarnemings is gelyktydig waar, en dit is juis wat die verslag verwarrend maak.

Werk deur die vier kontroles in volgorde en stop by die eerste een wat misluk.

Watter adres het werklik verander

Vergelyk die plaaslike koppelvlaktoestand met die bron wat ’n afgeleë eindpunt waarneem, op ’n punt waar jy gemagtig is om te kyk. ’n Nuwe openbare adres beteken nie ’n nuwe plaaslike poort nie, en ’n plaaslike koppelvlakverandering waarborg ook nie dat die openbare bron geskuif het nie. Vertaling tussenin beteken die twee is onafhanklike feite. Teken die presiese pad en die tyd aan waarop jy dit waargeneem het, want ’n geoligging-etiket wat uit ’n ou verslag gekopieer is, beantwoord ’n ander vraag.

Vra spesifiek of die buitenste bron verander het, die binneste tonneladres verander het, of albei. Net die eerste verklaar ’n eweknie wat aanhou stuur na ’n pad wat nie meer bestaan nie.

Laat die protokol die verskuiwing hanteer

Protokolle verskil in hoe hulle leer dat ’n eweknie geskuif het, en die verskil maak saak vir die vraag of jy hoegenaamd moet ingryp. WireGuard werk ’n eweknie se eindpunt by wanneer dit ’n pakket ontvang wat onder daardie eweknie se sleutel verifieer, en daarom kan ’n adresverandering sonder enige konfigurasie opgeneem word. IKEv2 het MOBIKE vir dieselfde doel waar albei kante dit ondersteun. Ouer ontwerpe herstel deur die tonnel in plaas daarvan weer op te bou.

Wat jy nie moet doen nie, is om ’n ongeverifieerde boodskap as bewys te aanvaar dat ’n eweknie se identiteit geskuif het. Dit is maklik om ’n datagram te vervals wat ’n nuwe adres beweer, en ’n kliënt wat glo dat dit na ’n aanvaller se eindpunt gestuur kan word. Die geauthentiseerde protokol is die meganisme; ’n kennisgewing is nie.

wg show wg0 endpoints
wg show wg0 latest-handshakes
conntrack -L -p udp --dport 51820 | head -n 10

Vee die verouderde buitenste binding uit

Wanneer die protokol roaming wel ondersteun en verkeer steeds faal, is die hindernis dikwels toestandsbewarende toerusting in die middel of ’n beleid aan die ander kant. ’n Brandmuur wat die ou vloei gevolg het, kan die verouderde inskrywing hou, en ’n bedienerkant-toegangsreël wat op die ou bron gesleutel is, sal die nuwe een stilweg laat val. Om die kartering skoon te maak en die reël weer na te gaan is vinniger as om geloofsbriewe te vervang.

Hou die vereiste blokkering in krag terwyl jy ondersoek. Om die beleid wyd oop te maak om te toets of die tonnel herstel, leer jou niks oor die oorsaak nie en laat die ontplooiing slegter agter as wat jy dit gekry het.

Toets weer met ’n nuwe versoek

’n Toepassingsessie wat voor die verandering gevestig is, oorleef dit nie, want die vier-tupel waarop dit gebou is, bestaan nie meer nie. Genereer ’n nuwe versoek ná herstel en bevestig dat dit voltooi, eerder as om te kyk hoe ’n ou aflaai op nul bly staan en tot die gevolgtrekking te kom dat die tonnel steeds stukkend is. Daardie enkele onderskeid verklaar ’n groot deel van hierdie verslae.

Teken dan albei helftes van die diagnose aan: wat stroomop verander het, en watter ondersteunde herstelstap die vloei teruggebring het. Die volgende keer sal vinniger wees, en die nota is wat dit vinniger maak.

As ’n nuwe versoek slaag en die oue nooit hervat nie, is die tonnel reggemaak en moet die toepassing bloot weer koppel.