La IP pública va canviar i la VPN va deixar de passar trànsit

Una reconnexió del proveïdor o un canvi en la traducció aigües amunt altera l’origen públic d’una sessió VPN, i l’adreça privada local del client normalment queda exactament com era. Llavors el túnel sembla connectat mentre no hi passa res d’útil. Totes dues observacions són certes alhora, i això és el que fa confús l’informe.

Recorreu les quatre comprovacions en ordre i atureu-vos a la primera que falli.

Quina adreça va canviar realment

Compareu l’estat de la interfície local amb l’origen que veu un extrem remot, en un punt on tingueu autorització per mirar. Una adreça pública nova no implica una passarel·la local nova, i un canvi d’interfície local tampoc no garanteix que l’origen públic s’hagi mogut. La traducció entremig vol dir que són dos fets independents. Anoteu el camí exacte i l’hora en què el vau observar, perquè una etiqueta de geolocalització copiada d’un informe antic respon una pregunta diferent.

Pregunteu específicament si va canviar l’origen exterior, l’adreça interior del túnel o tots dos. Només el primer explica un parell que continua enviant per un camí que ja no existeix.

Deixeu que el protocol gestioni el moviment

Els protocols difereixen en com aprenen que un parell s’ha mogut, i la diferència importa per decidir si us hi heu d’immiscir. WireGuard actualitza l’extrem d’un parell quan rep un paquet que s’autentica amb la clau d’aquest parell, i per això un canvi d’adreça es pot absorbir sense cap configuració. IKEv2 té MOBIKE per al mateix propòsit quan tots dos extrems el suporten. Els dissenys més antics es recuperen reconstruint el túnel.

El que no hauríeu de fer és acceptar un missatge no autenticat com a prova que la identitat d’un parell s’ha mogut. Falsificar un datagrama que afirma una adreça nova és trivial, i un client que creu que se’l pot dirigir a l’extrem de l’atacant. El protocol autenticat és el mecanisme; una notificació no ho és.

wg show wg0 endpoints
wg show wg0 latest-handshakes
conntrack -L -p udp --dport 51820 | head -n 10

Esborreu la vinculació exterior obsoleta

Quan el protocol sí que admet roaming i el trànsit continua fallant, l’obstacle sovint és equip amb estat al mig o una política a l’extrem llunyà. Un tallafoc que seguia el flux antic pot conservar l’entrada obsoleta, i una regla d’accés del servidor lligada a l’origen antic descartarà la nova en silenci. Netejar el mapatge i tornar a comprovar la regla és més ràpid que substituir les credencials.

Manteniu el bloqueig necessari mentre investigueu. Obrir la política de bat a bat per provar si el túnel es recupera no us ensenya res sobre la causa i deixa el desplegament pitjor del que el vau trobar.

Torneu a provar amb una petició nova

Una sessió d’aplicació establerta abans del canvi no el sobreviu, perquè la quàdruple sobre la qual es va construir ja no existeix. Genereu una petició nova després de la recuperació i confirmeu que es completa, en lloc de mirar com una descàrrega antiga es queda a zero i concloure que el túnel encara és trencat. Aquesta única distinció resol bona part d’aquests informes.

Després anoteu les dues meitats del diagnòstic: què va canviar aigües amunt i quin pas de recuperació admès va restablir el flux. La propera vegada serà més ràpida, i la nota és el que la fa més ràpida.

Si una petició nova té èxit i l’antiga no es reprèn mai, el túnel s’ha arreglat i l’aplicació només necessita tornar a connectar-se.