Kinni jäänud VPN ruuteri taaskäivituse järel: kolm asja, mis muutusid

Profiil ei muutunud, kuid selle all olev tee muutus. Enne mandaatide lähtestamist kontrollige kohalikku aadressi, tõlgitud vastendust ja marsruuti.

Ruuter lõpetab käivitumise, sülearvuti liitub uuesti sama SSID-ga ja VPN jääb olekusse ühendatud, ilma et midagi liiguks. Salvestatud profiil on terve. Selle all aegus tee, ja klient hoiab endiselt olekut, mille ta vana jaoks ehitas.

Paranduse otsustavad kolm tingimust. Kontrollige neid järjekorras, sest hilisemad on raisatud vaev, kui esimene juba seiskumist selgitab.

Esimene tingimus: kohalik aadress on muutunud

Taaskäivitus võib anda masinale teise aadressi. Siis jätkab fikseeritud kohaliku lõpp-punktiga konfigureeritud VPN ühenduse kasutamist, mida enam ei ole. Sama kehtib kliendi kohta, kes sidus oma sokli vana aadressiga. Tunneliliides võib jääda üles, samal ajal kui iga selle toodetud pakett läheb kasutusse mitte kuhugi.

Võrrelge aadressi, mida klient kasutab, aadressiga, mis liidesel praegu on. Vaikemarsruut, mis osutab lüüsile, mis on samuti muutunud, on sama tüüpi probleem teise nime all.

ip -4 addr show
ip route show default
ip route get 203.0.113.10

Teine tingimus: tõlgitud vastendus on kadunud

Koduruuterid tõlgivad väljuvaid vooge ja need vastendused elavad mälus. Taaskäivitus kustutab igaühe neist. See on uue ühenduse jaoks kahjutu ja hukatuslik tunnelile, mis usub, et selle olemasolev voog on endiselt kehtiv. Siis ei näe vastaspool midagi, nii et klient ei saa kunagi viga, mille peale tegutseda.

Siin jääb keepalive’ita tunnel vaikselt seisma, selle asemel et valjult ebaõnnestuda. WireGuardi dokumenteeritud piirangud kirjeldavad sama tõrke kuju. Vale lõpp-punkti olek tekitab kõrvalejäetud pakette, mitte diagnoosi.

Püsiv keepalive 25 sekundiga on tavaline leevendus, sest see värskendab vastendust enne, kui jõudeoleku aegumistähtaeg saab mööduda. See ei paranda vastendust, mis on juba kadunud. Siduge keepalive taasühendumisloogikaga, mitte ärge käsitlege seda parandusena.

Kolmas tingimus: avalik aadress on muutunud

Kui ruuteri enda väline aadress on muutunud, näeb kõik teisel pool, mis filtreerib lähteaadressi järgi, nüüd teist vastaspoolt. Tunnel võib üles tulla ja server võib liiklust siiski kõrvale jätta; see näeb välja nagu katkine klient ja on tegelikult poliitika teises otsas.

Märkige väline aadress enne ja pärast taaskäivitust. Kui need erinevad, liigub küsimus kliendilt sellele, kes haldab lubatud loendit, ja sülearvuti mandaatide lähtestamine ei aita.

Taastage õiges järjekorras

Lõpetage esmalt nõutav captive-portaali sisselogimine, seejärel laske kliendil selle toetatud protseduuri kaudu uuesti ühenduda, selle asemel et protsess tappa. Jälgige, kas taastuvad nii identiteet kui andmeliiklus, sest need on sama ühenduse kaks eri etappi.

Vahemällu salvestatud leht ei tõesta midagi, nagu ka vestlusrakendus, mis ühendus ise uuesti. Testige lõpp-punkti, mis teile tegelikult loeb, värske päringuga. Hoidke otseühenduse poliitika katkestuse ajal jõus, sest taasühendumiskatse ei ole blokeering.

Kui see kordub pärast igat taaskäivitust, on üleskirjutus tähtsam kui korduskatse. Märkige kohalik aadress, lüüs, väline aadress ja kliendi olek enne ja pärast, seejärel võrrelge kahte veergu. See muudab ebamäärase kaebuse elutsükli veaks, mille keegi saab parandada, ja see peatab sertifikaatide kolmanda asendamise vastenduse aegumistähtaja tõttu.

Seotud artiklid