IP publikoa aldatu zen eta VPNak trafikoa igortzeari utzi zion

ISPren berrikonexioak edo goragoko itzulpenean izandako aldaketak VPN saio baten iturburu publikoa aldatzen du, eta bezeroaren tokiko helbide pribatua, normalean, zeuden bezala geratzen da. Orduan tunela konektatuta dagoela ematen du, baina ez da ezer erabilgarririk zeharkatzen. Bi behaketak aldi berean dira egiazkoak, eta horrexek egiten du txostena nahasia.

Egin lau egiaztapenak hurrenez hurren, eta gelditu lehenengoan huts egiten duenean.

Zein helbide aldatu zen benetan

Konparatu tokiko interfazearen egoera urruneko mutur batek ikusten duen iturburuarekin, begiratzeko baimena duzun puntu batean. Helbide publiko berri batek ez du tokiko atebide berririk esan nahi, eta tokiko interfazearen aldaketak ez du bermatzen iturburu publikoa mugitu denik ere. Tartean itzulpena egoteak bi gertaera independente direla esan nahi du. Idatzi bide zehatza eta hura behatu zenuen ordua, txosten zahar batetik kopiatutako geokokapen etiketa batek beste galdera bati erantzuten baitio.

Galdetu zehazki ea kanpoko iturburua aldatu zen, tunelaren barne helbidea aldatu zen edo biak. Lehenengoak soilik azaltzen du jada existitzen ez den bide batera bidaltzen jarraitzen duen bikote bat.

Utzi protokoloari mugimendua kudeatzen

Protokoloak desberdinak dira bikote bat mugitu dela ikasteko moduan, eta alde hori garrantzitsua da ea esku hartu behar duzun erabakitzeko. WireGuardek bikote baten muturra eguneratzen du bikote horren gakoarekin autentifikatzen den pakete bat jasotzen duenean, eta horregatik helbide aldaketa bat konfiguraziorik gabe onar daiteke. IKEv2-k MOBIKE du helburu bererako, bi muturrek onartzen dutenean. Diseinu zaharragoek tunela berreraikiz sendatzen dira.

Egin behar ez duzuna da autentifikatu gabeko mezu bat bikote baten identitatea mugitu dela frogatzeko proba gisa onartzea. Helbide berri bat dioen datagrama bat faltsutzea erraza da, eta bezeroak uste du erasotzailearen muturrera bidera daitekeela. Autentifikatutako protokoloa da mekanismoa; jakinarazpena ez.

wg show wg0 endpoints
wg show wg0 latest-handshakes
conntrack -L -p udp --dport 51820 | head -n 10

Garbitu kanpoko lotura zaharkitua

Protokoloak roaming onartzen duenean eta trafikoak huts egiten jarraitzen duenean, oztopoa erdian egoera gordetzen duen ekipamendua izan ohi da edo urruneko muturreko politika bat. Fluxu zaharra jarraitu zuen suebakiak sarrera zaharkitua gorde dezake, eta iturburu zaharrari lotutako zerbitzari aldeko sarbide arau batek berria isilean baztertuko du. Mapaketa garbitzea eta araua berriro egiaztatzea kredentzialak ordezkatzea baino azkarragoa da.

Mantendu beharrezko blokeoa indarrean ikertzen duzun bitartean. Politika guztiz irekitzea tunela berreskuratzen den probatzeko ez dizu ezer irakasten kausari buruz, eta inplementazioa aurkitu zenuena baino okerrago uzten du.

Probatu berriro eskaera berri batekin

Aldaketaren aurretik ezarritako aplikazio saio batek ez du hura gainditzen, eraiki zen laukotea jada ez baita existitzen. Sortu eskaera berri bat berreskurapenaren ondoren eta egiaztatu osatzen dela, deskarga zahar bat zeroan gelditzen ikusi eta tunela oraindik hautsita dagoela ondorioztatu beharrean. Bereizketa bakar horrek txosten hauen zati handi bat konpontzen du.

Gero idatzi diagnostikoaren bi erdiak: zer aldatu zen gorago eta zein berreskurapen urrats onartuk berrezarri zuen fluxua. Hurrengo aldia azkarragoa izango da, eta oharra da azkarrago egiten duena.

Eskaera berri batek arrakasta izaten badu eta zaharrak inoiz berriro ekiten ez badio, tunela konpondu zen eta aplikazioak berriz konektatu besterik ez du egin behar.