Fastlåst VPN efter en genstart af routeren: tre ting, der ændrede sig

Routeren bliver færdig med at starte, bærbaren genopretter forbindelsen til det samme SSID, og VPN'en står på forbundet uden at noget bevæger sig. Den gemte profil er intakt. Det, der udløb nedenunder, var stien, og klienten holder stadig fast i den tilstand, den byggede til den gamle.

Tre betingelser afgør rettelsen. Kontroller dem i rækkefølge, for de senere er spildt arbejde, hvis den første allerede forklarer stilstanden.

Betingelse et: den lokale adresse er ændret

En genstart kan give maskinen en anden adresse. Så fortsætter en VPN, der er konfigureret med et fast lokalt endepunkt, med at bruge en tilknytning, der ikke findes længere. Det samme gælder en klient, der bandt sin socket til den gamle adresse. Tunnelinterfacet kan forblive oppe, mens hver pakke, det producerer, ender ingen steder.

Sammenlign den adresse, klienten bruger, med den adresse, interfacet har nu. En standardrute, der peger på en gateway, som også er ændret, er samme slags problem under et andet navn.

ip -4 addr show
ip route show default
ip route get 203.0.113.10

Betingelse to: den oversatte mapping er væk

Hjemmeroutere oversætter udgående flows, og de mappinger lever i hukommelsen. En genstart rydder hver eneste af dem. Det er harmløst for en ny forbindelse og fatalt for en tunnel, der tror, at dens eksisterende flow stadig er gyldigt. Så ser modparten intet, og klienten modtager aldrig en fejl, den kan handle på.

Det er her, en tunnel uden keepalives går i stå i stilhed i stedet for at fejle højlydt. WireGuards dokumenterede begrænsninger beskriver den samme form for fejl. Forkert endepunktstilstand giver tabte pakker i stedet for en diagnose.

En vedvarende keepalive på 25 sekunder er den sædvanlige afhjælpning, fordi den fornyer mappingen, før en inaktivitetstimeout kan udløbe. Den reparerer ikke en mapping, der allerede er væk. Par keepaliven med genopkoblingslogik i stedet for at behandle den som en rettelse.

Betingelse tre: den offentlige adresse er ændret

Hvis routerens egen eksterne adresse er ændret, ser alt på den anden side, der filtrerer efter kildeadresse, nu en anden modpart. Tunnelen kan komme op, og serveren kan stadig kassere trafikken, hvilket ligner en defekt klient og i virkeligheden er en politik i den anden ende.

Notér den eksterne adresse før og efter genstarten. Når de to er forskellige, flytter spørgsmålet sig fra klienten til den, der vedligeholder allowlisten, og en nulstilling af loginoplysningerne på bærbaren kan ikke hjælpe.

Genopret i den rigtige rækkefølge

Fuldfør først en påkrævet captive-portal-login, og lad derefter klienten genoprette forbindelsen via sin understøttede procedure i stedet for at dræbe processen. Se, om både identitet og datatrafik kommer tilbage, for det er to forskellige stadier af samme forbindelse.

En cachet side beviser intet, og det gør en chatapp, der selv har genoprettet forbindelsen, heller ikke. Test det endepunkt, du faktisk bekymrer dig om, med en ny anmodning. Hold politikken for direkte trafik i kraft under afbrydelsen, for et genopkoblingsforsøg er ikke en blokering.

Når det gentager sig efter hver genstart, betyder optegnelsen mere end forsøget. Notér den lokale adresse, gatewayen, den eksterne adresse og klienttilstanden før og efter, og sammenlign derefter de to kolonner. Det gør en vag klage til en livscyklusfejl, som nogen kan rette, og det forhindrer, at certifikaterne bliver udskiftet for tredje gang på grund af en mapping-timeout.