Newidiodd yr IP gyhoeddus a stopiodd y VPN basio traffig

Mae ailgysylltiad gan y darparwr neu newid mewn cyfieithiad i fyny’r llif yn newid ffynhonnell gyhoeddus sesiwn VPN, tra bo cyfeiriad preifat lleol y cleient fel arfer yn aros yn union fel ydoedd. Yna mae’r twnnel yn edrych yn gysylltiedig tra nad oes unrhyw beth defnyddiol yn croesi drwyddo. Mae’r ddau arsylwad yn wir ar yr un pryd, a dyna sy’n gwneud yr adroddiad yn ddryslyd.

Ewch drwy’r pedwar gwiriad yn eu tro, a stopiwch ar yr un cyntaf sy’n methu.

Pa gyfeiriad a newidiodd mewn gwirionedd

Cymharwch gyflwr y rhyngwyneb lleol â’r ffynhonnell y mae pen pell yn ei gweld, ar bwynt lle cewch edrych. Nid yw cyfeiriad cyhoeddus newydd yn awgrymu porth lleol newydd, ac nid yw newid rhyngwyneb lleol yn gwarantu bod y ffynhonnell gyhoeddus wedi symud chwaith. Mae cyfieithu yn y canol yn golygu bod y ddau yn ffeithiau annibynnol. Cofnodwch yr union lwybr a’r amser y gwnaethoch ei arsylwi, oherwydd bod label geoleoliad a gopïwyd o hen adroddiad yn ateb cwestiwn gwahanol.

Gofynnwch yn benodol a newidiodd y ffynhonnell allanol, cyfeiriad mewnol y twnnel, neu’r ddau. Dim ond yr un cyntaf sy’n egluro partner sy’n dal i anfon ar hyd llwybr nad yw’n bodoli mwyach.

Gadewch i’r protocol drin y symudiad

Mae protocolau’n wahanol yn y ffordd y maent yn dysgu bod partner wedi symud, ac mae’r gwahaniaeth yn bwysig i’r cwestiwn a ddylech ymyrryd o gwbl. Mae WireGuard yn diweddaru pen y partner pan fydd yn derbyn pecyn sy’n dilysu dan allwedd y partner hwnnw, a dyna pam y gellir amsugno newid cyfeiriad heb unrhyw ffurfweddiad. Mae gan IKEv2 MOBIKE at yr un diben lle mae’r ddau ben yn ei gefnogi. Mae cynlluniau hŷn yn adfer drwy ailadeiladu’r twnnel yn lle hynny.

Yr hyn na ddylech ei wneud yw derbyn neges heb ei dilysu fel prawf bod hunaniaeth partner wedi symud. Mae’n ddibwys ffugio datagram sy’n honni cyfeiriad newydd, a chleient sy’n credu y gellir ei lywio i ben yr ymosodwr. Y protocol dilysedig yw’r mecanwaith; nid hysbysiad yw.

wg show wg0 endpoints
wg show wg0 latest-handshakes
conntrack -L -p udp --dport 51820 | head -n 10

Cliriwch yr hen rwymiad allanol

Pan fo’r protocol yn cefnogi crwydro ac mae’r traffig yn dal i fethu, yr ataliad yn aml yw offer â chyflwr yn y canol neu bolisi ar y pen pell. Gall mur gwarchod a oedd yn olrhain yr hen ffrwd gadw’r cofnod hen, a bydd rheol mynediad ar y gweinydd wedi’i allweddu i’r hen ffynhonnell yn gollwng yr un newydd yn dawel. Mae glanhau’r mapio ac ailwirio’r rheol yn gyflymach na disodli’r manylion mewngofnodi.

Cadwch y blocio gofynnol ar waith wrth i chi ymchwilio. Mae agor y polisi’n llydan i brofi a yw’r twnnel yn adfer yn dysgu dim i chi am yr achos ac yn gadael y defnydd yn waeth nag y daethoch o hyd iddo.

Ailbrofi â chais newydd

Nid yw sesiwn cymhwysiad a sefydlwyd cyn y newid yn goroesi, oherwydd nad yw’r pedwarawd y’i hadeiladwyd arno yn bodoli mwyach. Cynhyrchwch gais newydd ar ôl adfer a chadarnhewch ei fod yn cwblhau, yn hytrach na gwylio hen lawrlwythiad yn aros ar sero a chasglu bod y twnnel yn dal wedi torri. Mae’r un gwahaniaeth hwnnw’n datrys cyfran fawr o’r adroddiadau hyn.

Yna cofnodwch ddau hanner y diagnosis: beth a newidiodd i fyny’r llif, a pha gam adfer a ganiateir a adferodd y ffrwd. Bydd y tro nesaf yn gyflymach, a’r nodyn yw’r hyn sy’n ei wneud yn gyflymach.

Os bydd cais newydd yn llwyddo ac nad yw’r hen un byth yn ailddechrau, mae’r twnnel wedi’i drwsio ac mae’r cymhwysiad yn syml angen ailgysylltu.