Mae IP WAN wedi newid a'r tiwnel wedi cwympo: y gwiriadau yn eu trefn

Mae'r tiwnel yn cwympo, mae'r llwybrydd yn cofnodi ailgysylltiad, ac nid oes dim ar y LAN wedi symud. Mae cyfeiriad WAN newydd yn ddi-rym i'r cysylltiad allanol heb newid dim o'r tu mewn: mae cyfeiriad ffynhonnell y cleient wedi newid, mae hen gyflwr NAT yn pwyntio at ffynhonnell nad yw'n bodoli mwyach, ac efallai bod y cymheir arall yn dal i anfon i'r cyfeiriad blaenorol. Mae adferiad yn ymddygiad arferol, a'r cwestiwn defnyddiol yw pa gyflwr na chafodd ei ddiweddaru.

Enwch y digwyddiad cyn i chi ddarllen y log

Gwiriwch beth ddigwyddodd mewn gwirionedd ar y haen mynediad. Mae adnewyddiad les gan y darparwr yn un digwyddiad. Mae sesiwn PPPoE a ailgysylltodd yn un arall. Mae modem ffibr a ailosodwyd, neu gael ei fethu drosodd o un cyswllt WAN i un arall, yn newid y cyfeiriad allanol neu ei lwybr mewn trydydd ffordd. Nid ydynt yr un digwyddiad ac nid ydynt yn gadael yr un gweddillion.

Nid yw llinell ailgysylltu yn y log VPN ychwaith yn brawf o newid WAN. Mae terfyn amser segur, cyfwng ail-ddilysu a chanfod cymheir marw i gyd yn cynhyrchu ailgysylltiadau heb unrhyw newid cyfeiriad o gwbl. Cymharwch stampiau amser o'r log mynediad â'r log VPN cyn dod i unrhyw gasgliad, a chadwch y ffenestr gymharu'n ddigon llydan i ddal newid a ddigwyddodd yn ystod y nos.

Mae rhwylo ac ailgysylltu yn brotocolau gwahanol

Mae gan WireGuard rwylo dilys wedi'i adeiladu i mewn i'r protocol: pan fydd cymheir yn derbyn pecyn wedi'i ddilysu'n gywir o gyfeiriad ffynhonnell newydd, mae'n diweddaru pwynt diwedd y cymheir hwnnw. Mae'r cychwyn cyflym WireGuard yn disgrifio'r ffurfweddiad cymheir sy'n gwneud hyn yn gweithio, a dyna pam mae cleient ar gyfeiriad sy'n newid yn aml yn gwella heb ailosod gweladwy.

Mae OpenVPN yn ymddwyn yn wahanol yn ddiofyn. Gall sesiwn UDP ddod i ben ac ailgysylltu, ac mae'r ymddygiad float dewisol yn caniatáu i gymheir dilys barhau o gyfeiriad newydd lle mae'r ffurfweddiad yn caniatáu. Mae tiwneli sy'n seiliedig ar TCP yn llymach, oherwydd mae'r cysylltiad ei hun wedi'i rwymo i'r pâr cyfeiriadau. Mae'r gwahaniaeth hwnnw'n penderfynu a yw'r adferiad yn edrych yn anweledig neu'n cyhoeddi ei hun yn y log bob tro.

Nid yw'r naill ymddygiad na'r llall yn dweud dim am y cymwysiadau o'r tu mewn. Nid yw tiwnel wedi'i adfer yn adfer sesiwn TCP yr oedd y cymheir eisoes yn ei hystyried yn farw.

Cyflwr nad yw'r tiwnel yn berchen arno

Mae cyflwr cyfieithu a llwybro yn goroesi'r ailgysylltiad mewn ffyrdd sy'n synnu pobl. Mae cofnod conntrack a grëwyd ar gyfer yr hen ffynhonnell yn cadw'r llwybr ateb wedi'i angori i gyfeiriad nad yw'n bodoli mwyach, ac mae'n dod i ben ar ei amserlen ei hun yn hytrach na phan ddaeth y tiwnel yn ôl. Nid yw ailgychwyn y gwasanaeth tiwnel yn byrhau'r aros hwnnw, felly gall cyswllt wedi'i drwsio edrych yn doredig am gyfnod.

Gall llwybrau a rheolau polisi gyfeirio at y porth neu'r rhyngwyneb hŷn. Gall set rheolau a oedd yn gywir cyn newid WAN bwyntio at ddyfais sydd bellach i lawr, sy'n cynhyrchu tiwnel sy'n adrodd ei fod wedi cysylltu a thraffig sy'n mynd i nunlle. Mae DNS deinamig ar gyfer gweinydd rydych chi'n ei gynnal yn broblem ar wahân i gleient sy'n cael ffynhonnell newydd. Mae angen diweddaru'r cofnod er mwyn i gleientiaid o bell ddod o hyd i chi, ac nid oes unrhyw ffurfweddiad ar ochr y cleient yn gwneud iawn am gyfeiriad na fydd cyfieithu i fyny'r afon yn ei anfon ymlaen.

Trefnwch y gwiriadau o'r tu allan i'r tu mewn

Mae'r drefn isod yn rhedeg o'r cysylltiad allanol i mewn, a stopio yn y cam cyntaf sy'n methu yw'r hyn sy'n ei wneud yn ddefnyddiol: mae pob pas yn diystyru'r haen uwch ei ben. Cadwch y drefn honno hyd yn oed pan fo'r nam yn edrych yn amlwg.

wg show
ip -br addr show
ip route get 198.51.100.7
conntrack -L 2>/dev/null | grep -c ESTABLISHED
journalctl -u openvpn-client@home --since '-2 hours' | tail -n 40

Mae'r gorchymyn cyntaf yn dangos y pwynt diwedd presennol ac oedran yr ysgwyd llaw ar gyfer pob cymheir. Mae'r ail a'r trydydd yn dangos a yw'r rhyngwyneb allanol a'r llwybr i'r pwynt diwedd yn dal i wneud synnwyr. Mae cyfrif conntrack yn wiriad bras ar gyflwr sydd wedi aros o'r cyfeiriad blaenorol, a'r dyddiadur yw'r man lle cofnodir rheswm yr ailgysylltiad.

Yna profwch o gleient LAN yn hytrach nag o'r llwybrydd. Mae ping a anfonwyd gan y llwybrydd ei hun yn defnyddio llwybr gwahanol i draffig a anfonwyd ymlaen, felly mae ping llwyddiannus o'r llwybrydd yn profi bod y tiwnel yn bodoli ac yn dweud dim am gyrraedd y cleient.

Penderfynwch ar yr ymddygiad disgwyliedig a'i ysgrifennu i lawr

Mae ailgysylltu yn ymddygiad cywir ar gyfer y mwyafrif o ddefnyddiadau, felly nid y nod yw ei atal. Penderfynwch yn lle hynny beth ddylai ddigwydd i draffig yn ystod y bwlch: ei stopio, ei ddal, neu fethu drosodd i lwybr arall. Mae'r penderfyniad hwnnw'n perthyn i'r wal dân a'r polisi llwybro, nid i broffil VPN.

Cofnodwch y digwyddiadau mynediad a'r amseroedd ailgysylltu gyda'i gilydd am wythnos. Mae newidiadau mynych heb ddigwyddiad mynediad cyfatebol yn pwyntio at y gwasanaeth mynediad, ac ni fydd disodli'r proffil VPN yn trwsio cyswllt sy'n dal i ailnegodi. Mae un pâr o gofnodion yn yr un munud yn setlo'r cwestiwn ar gyfer y digwyddiad hwnnw ac yn rhoi llinell sylfaen i'r nesaf.