Javna IP adresa se promijenila i VPN je prestao propuštati saobraćaj

Ponovno povezivanje kod davatelja ili promjena u uzvodnom prevođenju mijenja javni izvor VPN sesije, a klijentova lokalna privatna adresa obično ostaje točno kakva je bila. Tunel tada izgleda povezano, dok kroz njega ne prolazi ništa korisno. Oba zapažanja istodobno su istinita, i upravo to izvještaj čini zbunjujućim.

Prođite kroz četiri provjere po redu i zaustavite se na prvoj koja ne uspije.

Koja se adresa zapravo promijenila

Usporedite stanje lokalnog sučelja s izvorom koji udaljena krajnja točka vidi, u trenutku u kojem smijete gledati. Nova javna adresa ne znači novi lokalni pristupnik, a promjena lokalnog sučelja također ne jamči da se javni izvor premjestio. Prevođenje u sredini znači da su to dvije neovisne činjenice. Zabilježite točnu putanju i vrijeme kad ste je promatrali, jer geolokacijska oznaka kopirana iz starog izvještaja odgovara na drugo pitanje.

Pitajte izričito: promijenio se vanjski izvor, promijenila se unutarnja adresa tunela ili oboje? Samo prvo objašnjava partnera koji stalno šalje na putanju koja više ne postoji.

Neka protokol obavi premještanje

Protokoli se razlikuju po tome kako saznaju da se partner premjestio, a ta je razlika važna za pitanje trebate li uopće intervenirati. WireGuard ažurira partnerovu krajnju točku kada primi paket koji se autentificira njegovim ključem, i zato se promjena adrese može prihvatiti bez ikakve konfiguracije. IKEv2 ima MOBIKE za istu svrhu tamo gdje ga obje strane podržavaju. Stariji dizajni oporavljaju se ponovnom izgradnjom tunela.

Ono što ne biste smjeli je prihvatiti neautentificiranu poruku kao dokaz da se identitet partnera premjestio. Krivotvoriti datagram koji tvrdi novu adresu trivijalno je lako, a klijent koji vjeruje da se može usmjeriti na napadačevu krajnju točku. Autentificirani protokol jest mehanizam; obavijest nije.

wg show wg0 endpoints
wg show wg0 latest-handshakes
conntrack -L -p udp --dport 51820 | head -n 10

Očistite zastarjelo vanjsko vezivanje

Kada protokol podržava roaming, a promet ipak ne prolazi, prepreka je često oprema koja čuva stanje u sredini ili pravilo na udaljenoj strani. Vatrozid koji je pratio stari tok može zadržati zastarjeli unos, a poslužiteljsko pravilo pristupa vezano uz stari izvor tiho će odbaciti novi. Čišćenje preslikavanja i ponovna provjera pravila brži su od zamjene vjerodajnica.

Držite potrebno blokiranje na snazi dok istražujete. Široko otvaranje pravila da biste provjerili oporavlja li se tunel ne uči vas ništa o uzroku i ostavlja postavljanje gore nego što ste ga zatekli.

Ponovno testirajte novim zahtjevom

Sesija aplikacije uspostavljena prije promjene ne preživljava je, jer četvorka na kojoj je izgrađena više ne postoji. Generirajte novi zahtjev nakon oporavka i potvrdite da se dovršava, umjesto da gledate kako staro preuzimanje stoji na nuli i zaključujete da je tunel još pokvaren. Ta jedna razlika rješava velik dio ovih izvještaja.

Zatim zabilježite obje polovice dijagnoze: što se promijenilo uzvodno i koji je podržani korak oporavka vratio tok. Sljedeći će slučaj biti brži, a bilješka je ono što ga čini bržim.

Ako novi zahtjev uspije, a stari se nikad ne nastavi, tunel je popravljen i aplikacija se jednostavno mora ponovno povezati.