Veřejná IP se změnila a VPN přestala přenášet provoz

Opětovné připojení u poskytovatele nebo změna v překladu výše v síti mění veřejný zdroj relace VPN, zatímco lokální privátní adresa klienta obvykle zůstává přesně tak, jak byla. Tunel pak vypadá připojeně, i když přes něj neprochází nic užitečného. Obě pozorování platí současně, a právě proto je zpráva matoucí.

Projděte čtyři kontroly popořadě a zastavte se u první, která selže.

Která adresa se vlastně změnila

Porovnejte stav lokálního rozhraní se zdrojem, který vidí vzdálený koncový bod, v místě, kde máte oprávnění se dívat. Nová veřejná adresa neznamená novou lokální bránu a změna lokálního rozhraní také nezaručuje, že se veřejný zdroj posunul. Překlad mezi tím znamená, že jde o dva nezávislé fakty. Zapište přesnou cestu a čas, kdy jste ji pozorovali, protože geolokační štítek zkopírovaný ze staré zprávy odpovídá na jinou otázku.

Ptejte se konkrétně, zda se změnil vnější zdroj, vnitřní adresa tunelu, nebo obojí. Jen první možnost vysvětluje protějšek, který dál posílá na cestu, jež už neexistuje.

Nechte přesun na protokolu

Protokoly se liší v tom, jak zjistí, že se protějšek přesunul a ten rozdíl je důležitý pro to, zda vůbec máte zasahovat. WireGuard aktualizuje koncový bod protějšku, když obdrží paket, který se autentizuje klíčem tohoto protějšku, a proto lze změnu adresy vstřebat bez jakékoli konfigurace. IKEv2 má pro stejný účel MOBIKE tam, kde jej podporují obě strany. Starší návrhy se zotavují přestavbou tunelu.

Co byste neměli dělat, je přijmout neautentizovanou zprávu jako důkaz, že se identita protějšku přesunula. Padělat datagram tvrdící novou adresu je triviální a klient, který věří, že ho lze nasměrovat na útočníkův koncový bod. Autentizovaný protokol je mechanismus; oznámení není.

wg show wg0 endpoints
wg show wg0 latest-handshakes
conntrack -L -p udp --dport 51820 | head -n 10

Odstraňte zastaralé vnější navázání

Když protokol roaming podporuje a provoz přesto selhává, bývá překážkou stavové zařízení uprostřed cesty nebo pravidlo na vzdálené straně. Firewall, který sledoval starý tok, si může ponechat zastaralý záznam a přístupové pravidlo na serveru navázané na starý zdroj tiše zahodí nový. Vyčistit mapování a znovu zkontrolovat pravidlo je rychlejší než vyměnit přihlašovací údaje.

Po dobu vyšetřování udržujte požadované blokování v platnosti. Otevřít pravidla dokořán, abyste vyzkoušeli, zda se tunel zotaví, vás o příčině nic nenaučí a nasazení nechá horší, než jste ho našli.

Otestujte znovu novým požadavkem

Relace aplikace navázaná před změnou ji nepřežije, protože čtveřice, na níž byla postavena, už neexistuje. Po obnovení vygenerujte nový požadavek a potvrďte, že se dokončí, místo abyste sledovali, jak staré stahování stojí na nule, a usuzovali, že tunel je stále rozbitý. Právě tento rozdíl vyřeší velkou část těchto zpráv.

Pak zapište obě poloviny diagnózy: co se změnilo výše v síti a který podporovaný krok obnovy vrátil tok. Příští výskyt bude rychlejší a poznámka je to, co ho rychlejším činí.

Pokud nový požadavek uspěje a starý se nikdy neobnoví, tunel byl opraven a aplikace se prostě musí znovu připojit.