Публічны IP змяніўся, і VPN перастаў перадаваць трафік

Змена ў верхнім звяне можа зрабіць знешні шлях несапраўдным, хоць усе лакальныя адрасы застаюцца тымі ж. Праверце падтрымку роўмінгу і новы аўтэнтыфікаваны запыт.

Перападключэнне ў пастаўшчыка або змена трансляцыі ў верхнім звяне змяняе публічную крыніцу VPN-сесіі, а лакальны прыватны адрас кліента звычайна застаецца такім, як быў. Тады тунель выглядае злучаным, хоць праз яго не праходзіць нічога карыснага. Абодва назіранні слушныя адначасова, і менавіта гэта робіць справаздачу заблытанай.

Прайдзіце чатыры праверкі па парадку і спыніцеся на першай, што не ўдалася.

Які адрас насамрэч змяніўся

Параўнайце стан лакальнага інтэрфейса з крыніцай, якую бачыць аддалены вузел, у пункце, дзе вам дазволена глядзець. Новы публічны адрас не азначае новы лакальны шлюз, а змена лакальнага інтэрфейса таксама не гарантуе, што публічная крыніца перамясцілася. Трансляцыя паміж імі азначае, што гэта два незалежныя факты. Запішыце дакладны шлях і час, калі вы яго назіралі, бо геалакацыйная пазнака, скапіяваная са старой справаздачы, адказвае на іншае пытанне.

Спытайцеся канкрэтна: змянілася знешняя крыніца, змяніўся ўнутраны адрас тунеля ці абодва? Толькі першае тлумачыць вузел, які ўсё яшчэ шле на шлях, якога ўжо не існуе.

Дайце пратаколу самому апрацаваць перамяшчэнне

Пратаколы адрозніваюцца тым, як яны даведваюцца, што вузел перамясціўся, і гэтае адрозненне важнае для пытання, ці варта вам умяшацца ўвогуле. WireGuard абнаўляе канчатковы пункт вузла, калі атрымлівае пакет, які аўтэнтыфікуецца ключом гэтага вузла, і таму змену адраса можна прыняць без любой канфігурацыі. У IKEv2 ёсць MOBIKE для той жа мэты, калі абодва бакі яго падтрымліваюць. Старэйшыя распрацоўкі аднаўляюцца, перабудоўваючы тунель.

Чаго рабіць нельга — прымаць неаўтэнтыфікаванае паведамленне як доказ таго, што ідэнтычнасць вузла перамясцілася. Падрабіць датаграму з новага адраса вельмі проста, а кліент верыць, што яго можна накіраваць на канчатковы пункт зламысніка. Аўтэнтыфікаваны пратакол — гэта механізм; апавяшчэнне — не.

wg show wg0 endpoints
wg show wg0 latest-handshakes
conntrack -L -p udp --dport 51820 | head -n 10

Прыбярыце састарэлае знешняе прывязванне

Калі пратакол падтрымлівае роўмінг, а трафік усё роўна не ідзе, перашкодай часта бывае прылада са станам у сярэдзіне або палітыка на далёкім баку. Файрвол, які адсочваў стары паток, можа захаваць састарэлы запіс, а правіла доступу на серверы, прывязанае да старой крыніцы, моўчкі адкіне новую. Ачысціць адлюстраванне і пераправерыць правіла хутчэй, чым замяніць уліковыя даныя.

Трымайце патрэбную блакіроўку ў сіле, пакуль вядзеце расследаванне. Шырока адкрыць палітыку, каб праверыць, ці аднавіцца тунель, нічога не кажа пра прычыну і пакідае разгортванне горшым, чым вы яго знайшлі.

Пераправерце новым запытам

Сесія праграмы, усталяваная да змены, яе не перажывае, бо чацвёрка, на якой яна была пабудавана, больш не існуе. Створыце новы запыт пасля аднаўлення і пацвердзіце, што ён завяршаецца, замест таго каб глядзець, як старое спампоўванне стаіць на нулі, і рабіць выснову, што тунель усё яшчэ зламаны. Гэтае адзінае адрозненне вырашае значную частку такіх справаздач.

Затым запішыце абедзве паловы дыягназу: што змянілася ў верхнім звяне і які падтрыманы крок аднаўлення вярнуў паток. Наступны выпадак будзе хутчэйшым, і менавіта нататка робіць яго хутчэйшым.

Калі новы запыт паспяховы, а стары так і не аднавіўся, тунель быў выпраўлены, і праграме проста трэба перападключыцца.

Падобныя артыкулы