WAN IP dəyişdi və tunel düşdü: yoxlamalar sıra ilə

Tunel düşür, marşrutlaşdırıcı yenidən qoşulma qeyd edir və LAN-da heç nə tərpənmir. Yeni WAN ünvanı daxildə heç nəyi dəyişmədən xarici bağlantını etibarsız edir: müştərinin mənbə ünvanı dəyişdi, köhnə NAT vəziyyəti artıq mövcud olmayan mənbəyə işarə edir və uzaq peer hələ də əvvəlki ünvana göndərir. Bərpa normal davranışdır və faydalı sual hansı vəziyyətin yenilənmədiyidir.

Jurnalı oxumazdan əvvəl hadisəni adlandırın

Giriş qatında həqiqətən nə baş verdiyini yoxlayın. ISP icarə müqaviləsinin yenilənməsi bir hadisədir. Yenidən qoşulan PPPoE sessiyası başqa hadisədir. Yenidən yüklənən lif modem və ya bir uplinkdən digərinə WAN keçidi xarici ünvanı və ya onun yolunu üçüncü şəkildə dəyişir. Onlar eyni hadisə deyil və eyni qalıqları qoymurlar.

VPN jurnalındakı yenidən qoşulma sətri də WAN dəyişikliyinin sübutu deyil. Boşdayanma fasiləsi, yenidən autentifikasiya intervalı və ölü-peer aşkarlanması hamısı heç bir ünvan dəyişikliyi olmadan yenidən qoşulma yaradır. Nəticə çıxarmazdan əvvəl giriş jurnalının vaxt damğalarını VPN jurnalı ilə müqayisə edin və müqayisə pəncərəsini gecə baş vermiş dəyişikliyi tutacaq qədər geniş saxlayın.

Rouming və yenidən qoşulma fərqli protokollardır

WireGuard protokolun içində autentifikasiya olunmuş rouming saxlayır: peer yeni mənbə ünvanından düzgün autentifikasiya olunmuş paket aldıqda, həmin peerin son nöqtəsini yeniləyir. WireGuard sürətli başlanğıcı bunun işləməsini təmin edən peer konfiqurasiyasını təsvir edir, buna görə dəyişən ünvanda olan müştəri çox vaxt görünən yenidən başlatma olmadan bərpa olunur.

OpenVPN standart olaraq fərqli davranır. UDP sessiyası bitə və yenidən qoşula bilər və istəyə bağlı float davranışı autentifikasiya olunmuş peerin konfiqurasiya icazə verdiyi yerdə yeni ünvandan davam etməsinə imkan verir. TCP əsaslı tunellər daha sərtdir, çünki bağlantının özü ünvan cütünə bağlıdır. Bu fərq bərpanın görünməz görünəcəyini, yoxsa hər dəfə jurnalda özünü elan edəcəyini müəyyən edir.

Heç bir davranış içəridəki tətbiqlər haqqında heç nə demir. Bərpa olunmuş tunel peerin artıq ölü saydığı TCP sessiyasını bərpa etmir.

Tunelin sahib olmadığı vəziyyət

Tərcümə və marşrutlaşdırma vəziyyəti yenidən qoşulmadan insanları təəccübləndirən şəkildə sağ qalır. Köhnə mənbə üçün yaradılmış conntrack qeydi cavab yolunu artıq mövcud olmayan ünvana bağlı saxlayır və tunel qayıdanda deyil, öz cədvəli üzrə bitir. Tunel xidmətini yenidən başlatmaq bu gözləməni qısaltmır, ona görə təmir olunmuş link bir müddət yenə xarab görünə bilər.

Marşrutlar və siyasət qaydaları köhnə şlüuzə və ya interfeysə istinad edə bilər. WAN dəyişikliyindən əvvəl doğru olan qayda dəsti indi söndürülmüş cihaza işarə edə bilər, bu da qoşulduğunu bildirən tunel və heç yerə getməyən trafik yaradır. Saxladığınız server üçün dinamik DNS, yeni mənbə əldə edən müştəridən ayrı bir problemdir. Uzaq müştərilərin sizi tapması üçün qeyd yenilənməlidir və heç bir müştəri tərəfi konfiqurasiya yuxarı axında tərcümənin ötürməyəcəyi ünvanı kompensasiya etmir.

Yoxlamaları xaricdən içəri sıralayın

Aşağıdakı sıra xarici bağlantıdan içəriyə doğru gedir və ilk uğursuz addımda dayanmaq onu faydalı edir: hər yoxlama üstündəki qatı istisna edir. Xəta aydın görünsə belə, bu sıranı saxlayın.

wg show
ip -br addr show
ip route get 198.51.100.7
conntrack -L 2>/dev/null | grep -c ESTABLISHED
journalctl -u openvpn-client@home --since '-2 hours' | tail -n 40

Birinci əmr hər peer üçün cari son nöqtəni və əl sıxma yaşını göstərir. İkinci və üçüncü xarici interfeysin və son nöqtəyə marşrutun hələ də məntiqli olub-olmadığını göstərir. conntrack sayı əvvəlki ünvandan qalan vəziyyət üçün qaba yoxlamadır və jurnal yenidən qoşulma səbəbinin qeyd edildiyi yerdir.

Sonra marşrutlaşdırıcıdan deyil, LAN müştərisindən test edin. marşrutlaşdırıcının özü tərəfindən göndərilən ping ötürülən trafikdən fərqli yol istifadə edir, buna görə uğurlu marşrutlaşdırıcı ping tunelin mövcud olduğunu sübut edir və müştəri əlçatanlığı haqqında heç nə demir.

Gözlənilən davranışı müəyyənləşdirin və yazın

Yenidən qoşulma əksər yerləşdirmələr üçün düzgün davranışdır, buna görə məqsəd onun qarşısını almaq deyil. Bunun əvəzinə boşluq zamanı trafiklə nə olacağına qərar verin: onu dayandırın, saxlayın və ya başqa yola keçirin. Bu qərar firewall və marşrutlaşdırma siyasətinə aiddir, VPN profilinə deyil.

Giriş hadisələrini və yenidən qoşulma vaxtlarını bir həftə birlikdə qeyd edin. Uyğun giriş hadisəsi olmadan təkrarlanan dəyişikliklər giriş xidmətinə işarə edir və VPN profilini dəyişmək daim yenidən danışıq aparan uplinkı düzəltməyəcək. Eyni dəqiqədə tək bir cüt qeyd həmin hadisə üçün sualı həll edir və növbəti hadisəyə başlanğıc xətti verir.