Η δημόσια IP άλλαξε και το VPN σταμάτησε να περνά κίνηση

Μια επανασύνδεση στον πάροχο ή μια αλλαγή στη μετάφραση ανάντη αλλάζει τη δημόσια πηγή μιας συνεδρίας VPN, ενώ η τοπική ιδιωτική διεύθυνση του πελάτη συνήθως μένει ακριβώς όπως ήταν. Τότε η σήραγγα φαίνεται συνδεδεμένη ενώ τίποτα χρήσιμο δεν περνά από μέσα της. Και οι δύο παρατηρήσεις ισχύουν ταυτόχρονα, και αυτό ακριβώς κάνει την αναφορά μπερδεμένη.

Περάστε τους τέσσερις ελέγχους με τη σειρά και σταματήστε στον πρώτο που αποτυγχάνει.

Ποια διεύθυνση άλλαξε στην πραγματικότητα

Συγκρίνετε την κατάσταση της τοπικής διεπαφής με την πηγή που βλέπει ένα απομακρυσμένο άκρο, σε ένα σημείο όπου έχετε εξουσιοδότηση να κοιτάξετε. Μια νέα δημόσια διεύθυνση δεν συνεπάγεται νέα τοπική πύλη, και μια αλλαγή τοπικής διεπαφής επίσης δεν εγγυάται ότι η δημόσια πηγή μετακινήθηκε. Η μετάφραση στο ενδιάμεσο σημαίνει ότι πρόκειται για δύο ανεξάρτητα γεγονότα. Καταγράψτε την ακριβή διαδρομή και τη στιγμή που την παρατηρήσατε, γιατί μια ετικέτα γεωεντοπισμού αντιγραμμένη από παλιά αναφορά απαντά σε διαφορετικό ερώτημα.

Ρωτήστε συγκεκριμένα αν άλλαξε η εξωτερική πηγή, η εσωτερική διεύθυνση της σήραγγας ή και τα δύο. Μόνο το πρώτο εξηγεί έναν ομότιμο που συνεχίζει να στέλνει σε μια διαδρομή που δεν υπάρχει πλέον.

Αφήστε το πρωτόκολλο να χειριστεί τη μετακίνηση

Τα πρωτόκολλα διαφέρουν στον τρόπο που μαθαίνουν ότι ένας ομότιμος μετακινήθηκε, και η διαφορά μετράει για το αν πρέπει να επέμβετε καθόλου. Το WireGuard ενημερώνει το τελικό σημείο ενός ομοτίμου όταν λαμβάνει ένα πακέτο που πιστοποιείται με το κλειδί αυτού του ομοτίμου, γι’ αυτό μια αλλαγή διεύθυνσης μπορεί να απορροφηθεί χωρίς καμία διαμόρφωση. Το IKEv2 έχει το MOBIKE για τον ίδιο σκοπό όπου το υποστηρίζουν και τα δύο άκρα. Παλαιότεροι σχεδιασμοί ανακάμπτουν ξαναχτίζοντας τη σήραγγα.

Αυτό που δεν πρέπει να κάνετε είναι να δεχτείτε ένα μη πιστοποιημένο μήνυμα ως απόδειξη ότι η ταυτότητα ενός ομοτίμου μετακινήθηκε. Η πλαστογράφηση ενός αυτοδύναμου πακέτου που ισχυρίζεται νέα διεύθυνση είναι ασήμαντη υπόθεση, και ένας πελάτης που πιστεύει ότι μπορεί να κατευθυνθεί στο τελικό σημείο του επιτιθέμενου. Το πιστοποιημένο πρωτόκολλο είναι ο μηχανισμός· μια ειδοποίηση δεν είναι.

wg show wg0 endpoints
wg show wg0 latest-handshakes
conntrack -L -p udp --dport 51820 | head -n 10

Καθαρίστε την παλιά εξωτερική σύνδεση

Όταν το πρωτόκολλο υποστηρίζει περιαγωγή και η κίνηση εξακολουθεί να αποτυγχάνει, το εμπόδιο είναι συχνά συσκευή που κρατά κατάσταση στη μέση ή μια πολιτική στο μακρινό άκρο. Ένα τείχος προστασίας που παρακολουθούσε την παλιά ροή μπορεί να κρατήσει την παλιά εγγραφή, και ένας κανόνας πρόσβασης στην πλευρά του διακομιστή, δεμένος με την παλιά πηγή, θα απορρίψει τη νέα αθόρυβα. Το καθάρισμα της αντιστοίχισης και ο επανέλεγχος του κανόνα είναι ταχύτερα από την αντικατάσταση διαπιστευτηρίων.

Διατηρήστε τον απαιτούμενο αποκλεισμό σε ισχύ όσο ερευνάτε. Το άνοιγμα της πολιτικής διάπλατα για να δοκιμάσετε αν η σήραγγα ανακάμπτει δεν σας μαθαίνει τίποτα για την αιτία και αφήνει την εγκατάσταση χειρότερη απ’ ό,τι τη βρήκατε.

Δοκιμάστε ξανά με νέο αίτημα

Μια συνεδρία εφαρμογής που καθιερώθηκε πριν από την αλλαγή δεν την επιβιώνει, γιατί η τετράδα πάνω στην οποία χτίστηκε δεν υπάρχει πλέον. Δημιουργήστε ένα νέο αίτημα μετά την ανάκτηση και επιβεβαιώστε ότι ολοκληρώνεται, αντί να βλέπετε μια παλιά λήψη να μένει στο μηδέν και να συμπεραίνετε ότι η σήραγγα είναι ακόμη χαλασμένη. Αυτή η μία διάκριση λύνει μεγάλο μέρος αυτών των αναφορών.

Στη συνέχεια καταγράψτε και τα δύο μισά της διάγνωσης: τι άλλαξε ανάντη και ποιο υποστηριζόμενο βήμα ανάκτησης επανέφερε τη ροή. Το επόμενο περιστατικό θα είναι ταχύτερο, και η σημείωση είναι αυτό που το κάνει ταχύτερο.

Αν ένα νέο αίτημα πετύχει και το παλιό δεν επαναληφθεί ποτέ, η σήραγγα επισκευάστηκε και η εφαρμογή απλώς χρειάζεται να επανασυνδεθεί.