La publika IP ŝanĝiĝis kaj la VPN ĉesis pasigi trafikon

Rekonekto ĉe la provizanto aŭ ŝanĝo en la supra tradukado ŝanĝas la publikan fonton de VPN-sesio, dum la loka privata adreso de la kliento kutime restas ĝuste tia, kia ĝi estis. La tunelo tiam aspektas konektita, kvankam nenio utila trapasas ĝin. Ambaŭ observoj veras samtempe, kaj ĝuste tio faras la raporton konfuza.

Trairu la kvar kontrolojn laŭvice kaj haltu ĉe la unua, kiu malsukcesas.

Kiun adreson efektive ŝanĝiĝis

Komparu la staton de la loka interfaco kun la fonto, kiun vidas malproksima finpunkto, en punkto, kie vi rajtas rigardi. Nova publika adreso ne implicas novan lokan enirejon, kaj ŝanĝo de la loka interfaco ankaŭ ne garantias, ke la publika fonto moviĝis. Tradukado intere signifas, ke temas pri du sendependaj faktoj. Notu la precizan vojon kaj la tempon, kiam vi observis ĝin, ĉar geoloka etikedo kopiita el malnova raporto respondas al alia demando.

Demandu specife, ĉu ŝanĝiĝis la ekstera fonto, la interna tunela adreso, aŭ ambaŭ. Nur la unua klarigas partneron, kiu daŭre sendas al vojo, kiu ne plu ekzistas.

Lasu la protokolon trakti la moviĝon

Protokoloj diferencas en tio, kiel ili sciiĝas, ke partnero moviĝis, kaj la diferenco gravas por la demando, ĉu vi entute intervenu. WireGuard ĝisdatigas la finpunkton de partnero, kiam ĝi ricevas paketon, kiu aŭtentikiĝas per la ŝlosilo de tiu partnero, kaj tial adresa ŝanĝo povas esti sorbita sen ajna agordo. IKEv2 havas MOBIKE por la sama celo, kie ambaŭ flankoj subtenas ĝin. Pli malnovaj dizajnoj resaniĝas per rekonstruo de la tunelo anstataŭe.

Kion vi ne devus fari, estas akcepti neaŭtentikigitan mesaĝon kiel pruvon, ke la identeco de partnero moviĝis. Falsi datagramon, kiu asertas novan adreson, estas bagatela, kaj kliento, kiu kredas, ke ĝi povas esti direktita al la finpunkto de atakanto. La aŭtentikigita protokolo estas la mekanismo; sciigo ne estas.

wg show wg0 endpoints
wg show wg0 latest-handshakes
conntrack -L -p udp --dport 51820 | head -n 10

Forigu la kadukintan eksteran ligon

Kiam la protokolo ja subtenas roamadon kaj la trafiko tamen malsukcesas, la baro ofte estas stato-konservanta ekipaĵo meze aŭ politiko ĉe la malproksima flanko. Fajroŝirmilo, kiu spuris la malnovan fluon, povas konservi la kadukintan entajpon, kaj alirkontrolo ĉe la servilo ligita al la malnova fonto silentos pri la nova. Purigi la mapadon kaj rekontroli la regulon estas pli rapide ol anstataŭigi legitimilojn.

Tenu la postulatan blokadon en vigleco dum vi esploras. Malfermi la politikon tute por testi, ĉu la tunelo resaniĝas, instruas al vi nenion pri la kaŭzo kaj lasas la aranĝon pli malbona, ol vi trovis ĝin.

Retestu per nova peto

Aplikacia sesio establita antaŭ la ŝanĝo ne postvivas ĝin, ĉar la kvaropo, sur kiu ĝi estis konstruita, ne plu ekzistas. Generu novan peton post resaniĝo kaj konfirmu, ke ĝi kompletiĝas, anstataŭ rigardi malnovan elŝuton resti ĉe nulo kaj konkludi, ke la tunelo ankoraŭ estas rompita. Ĝuste tiu sola distingo solvas grandan parton de ĉi tiuj raportoj.

Poste notu ambaŭ duonojn de la diagnozo: kio ŝanĝiĝis supre, kaj kiu subtenata resaniga paŝo restarigis la fluon. La sekva okazo estos pli rapida, kaj la noto estas tio, kio faras ĝin pli rapida.

Se nova peto sukcesas kaj la malnova neniam rekomenciĝas, la tunelo estis riparita kaj la aplikaĵo simple devas rekonektiĝi.