Avalik IP muutus ja VPN lakkas liiklust läbi laskmast

ISP taasühendus või muudatus ülesvoolu tõlkes muudab VPN-seansi avalikku allikat, samal ajal kui kliendi kohalik privaatne aadress jääb tavaliselt täpselt samaks. Siis näeb tunnel välja ühendatud, kuigi sealt ei lähe läbi midagi kasulikku. Mõlemad tähelepanekud on korraga tõesed ja just see teebki aruande segaseks.

Käige neli kontrolli järjest läbi ja peatuge esimese juures, mis ebaõnnestub.

Milline aadress tegelikult muutus

Võrrelge kohaliku liidese olekut allikaga, mida näeb kaugem otspunkt, kohas, kus teil on lubatud vaadata. Uus avalik aadress ei tähenda uut kohalikku lüüsi ja kohaliku liidese muutus ei taga samuti, et avalik allikas on liikunud. Vahepealne tõlge tähendab, et tegemist on kahe sõltumatu faktiga. Kirjutage üles täpne tee ja aeg, mil te seda vaatlesite, sest vanast aruandest kopeeritud geolokatsiooni silt vastab teisele küsimusele.

Küsige konkreetselt, kas muutus välimine allikas, tunnelisisene aadress või mõlemad. Ainult esimene seletab partnerit, kes saadab endiselt teele, mida enam ei ole.

Laske protokollil liikumine ära käsitleda

Protokollid erinevad selle poolest, kuidas nad saavad teada, et partner liikus, ja see erinevus on oluline, kas peaksite üldse sekkuma. WireGuard uuendab partneri otspunkti, kui saab paketi, mis autenditakse selle partneri võtmega, mistõttu saab aadressimuutuse omaks võtta ilma igasuguse seadistuseta. IKEv2-l on samal eesmärgil MOBIKE seal, kus mõlemad otsad seda toetavad. Vanemad lahendused taastuvad tunnelit uuesti ehitades.

Mida te ei tohiks teha, on võtta autentimata sõnumit tõendina, et partneri identiteet on liikunud. Uut aadressi väitvat datagrammi on triviaalne võltsida ja klient, kes usub, et teda saab suunata ründaja otspunkti. Autenditud protokoll on mehhanism; teade ei ole.

wg show wg0 endpoints
wg show wg0 latest-handshakes
conntrack -L -p udp --dport 51820 | head -n 10

Kustutage vananenud välimine sidumine

Kui protokoll toetab rändlust ja liiklus ikka ei lähe läbi, on takistuseks sageli olekut hoidvad seadmed vahepeal või reegel kaugemas otsas. Tulemüür, mis jälgis vana voogu, võib vananenud kirje alles hoida, ja vana allikaga seotud serveripoolne juurdepääsureegel jätab uue vaikselt kõrvale. Vaste puhastamine ja reegli ülekontrollimine on kiirem kui mandaatide vahetamine.

Hoidke nõutav blokeering jõus, kuni uurite. Reeglite pärani avamine, et proovida, kas tunnel taastub, ei õpeta teile põhjuse kohta midagi ja jätab juurutuse hullemaks, kui te selle leidsite.

Testige uuesti uue päringuga

Enne muudatust loodud rakenduse seanss ei jää sellest ellu, sest nelik, millele see ehitati, ei ole enam olemas. Looge taastamise järel uus päring ja kinnitage, et see lõpeb, selle asemel et vaadata, kuidas vana allalaadimine jääb nulli, ja järeldada, et tunnel on endiselt katki. Just see üks erinevus lahendab suure osa neist aruannetest.

Seejärel kirjutage üles diagnoosi mõlemad pooled: mis ülesvoolu muutus ja milline toetatud taastamissamm tõi voo tagasi. Järgmine juhtum on kiirem ja märkus on see, mis teeb selle kiiremaks.

Kui uus päring õnnestub ja vana ei jätku kunagi, parandati tunnel ja rakendus peab lihtsalt uuesti ühenduma.