WAN IPa aldatu da eta tunela erori da: egiaztapenak ordenan

Tunela erortzen da, routerrak berriz konektatzea erregistratzen du, eta LANean ezer ez da mugitu. WAN helbide berri batek kanpoko konexioa baliogabetzen du barruan ezer aldatu gabe: bezeroaren iturburu-helbidea aldatu da, NAT egoera zaharrak jada existitzen ez den iturburu bati seinalatzen dio, eta urrutiko pareak aurreko helbidera bidaltzen jarrai dezake. Berreskuratzea portaera normala da, eta galdera erabilgarria zein egoerak huts egin zuen eguneratzen da.

Izendatu gertaera erregistroa irakurri aurretik

Egiaztatu sarbide-geruzan benetan zer gertatu zen. ISPren alokairuaren berritzea gertaera bat da. Berriz konektatu zen PPPoE saio bat beste bat da. Berrabiarazi zen zuntz modem bat edo uplink batetik bestera WAN failover bat kanpoko helbidea edo haren bidea hirugarren modu batean aldatzen du. Ez dira gertaera bera eta ez dute hondakin bera uzten.

VPN erregistroko berriz konektatzeko lerroa ere ez da WAN aldaketaren froga. Denbora-muga inaktiboak, berrautaketaren tartea eta pare hildakoaren detekzioak berriz konektatzeak sortzen dituzte helbide aldaketarik gabe. Alderatu sarbide-erregistroko denbora-markak VPN erregistroarekin ondorio bat atera aurretik, eta eduki konparazio-leihoa nahikoa zabal gauez gertatutako aldaketa harrapatzeko.

Roaming-a eta berriz konektatzea protokolo desberdinak dira

WireGuardek autentifikatutako roaming-a du protokoloan txertatuta: pare batek iturburu-helbide berri batetik behar bezala autentifikatutako paketea jasotzen duenean, pare horren amaiera-puntua eguneratzen du. WireGuard-en hasiera bizkorrak hori ahalbidetzen duen pare konfigurazioa deskribatzen du, eta horregatik helbide aldakorrean dagoen bezero bat sarritan berreskuratzen da berrabiarazte ikusgarririk gabe.

OpenVPN beste modu batera jokatzen du lehenespenez. UDP saio bat amaitu eta berriz konekta daiteke, eta hautazko float portaerak pare autentifikatu bati helbide berri batetik jarraitzen uzten dio konfigurazioak onartzen duenean. TCPn oinarritutako tunelak zorrotzagoak dira, konexioa bera helbide-pareari lotuta baitago. Desberdintasun horrek erabakitzen du berreskuratzea ikusezin agertuko den ala erregistroan iragarriko den bakoitzean.

Bi portaerek ez dute ezer esaten barruko aplikazioei buruz. Berreskuratutako tunel batek ez du lehenago pareak hildakotzat jotzen zuen TCP saio bat leheneratzen.

Tunelak ez duen egoera

Itzulpen eta bideratze egoerak berriz konektatzea gainditzen du jendea harritzen duten moduetan. Iturburu zaharretarako sortutako conntrack sarrera batek erantzun-bidea jada existitzen ez den helbide bati ainguratuta mantentzen du, eta bere egutegiaren arabera iraungitzen da, ez tunela itzuli zenean. Tunel zerbitzua berrabiarazteak ez du itxaronaldi hori laburtzen, beraz konpondutako esteka bat hondatuta eman dezake denbora batez.

Bideek eta politika arauek ataka edo interfaze zaharrari erreferentzia egin diezaiekete. WAN aldaketa baten aurretik zuzena zen arau multzo batek orain behera dagoen gailu bati seinalatzen ahal dio, eta horrek konektatuta dagoela jakinarazten duen tunel bat eta inora ez doan trafikoa sortzen ditu. Ostatatzen duzun zerbitzari baterako DNS dinamikoa iturburu berria lortzen duen bezeroaren arazoaz bestelakoa da. Erregistroa eguneratu behar da urrutiko bezeroek zu aurkitzeko, eta bezeroaren aldeko inongo konfiguraziok ez du konpentsatzen upstream itzulpenak birbidaliko ez duen helbide bat.

Ordenatu egiaztapenak kanpotik barrura

Beheko ordenak kanpoko konexiotik barrura egiten du, eta huts egiten duen lehen urratsean gelditzea da hura erabilgarri egiten duena: pasatu bakoitzak gaineko geruza baztertzen du. Mantendu ordena hori akatsa begi bistakoa izan arren.

wg show
ip -br addr show
ip route get 198.51.100.7
conntrack -L 2>/dev/null | grep -c ESTABLISHED
journalctl -u openvpn-client@home --since '-2 hours' | tail -n 40

Lehen komandoak pare bakoitzaren uneko amaiera-puntua eta eskuko tratuaren adina erakusten ditu. Bigarren eta hirugarrenak kanpoko interfazeak eta amaiera-punturako bideak zentzurik duten erakusten dute. conntrack zenbaketa aurreko helbidetik geratzen den egoeraren egiaztapen zakarra da, eta erregistroa berriz konektatzearen arrazoia idazten den lekua da.

Gero egiaztatu LAN bezero batetik, routerretik baino. Routerrak berak bidalitako ping batek birbidalitako trafikoaren bide desberdina erabiltzen du, beraz routerraren ping arrakastatsu batek tunela badagoela frogatzen du, eta ezer ez bezeroaren irisgarritasunaz.

Erabaki espero den portaera eta idatzi

Berriz konektatzea portaera zuzena da inplementazio gehienentzat, beraz helburua ez da hura eragoztea. Erabaki horren ordez zer gertatu behar den trafikoarekin hutsunean: gelditu, eutsi edo beste bide batera jo. Erabaki hori suebakiari eta bideratze-politikari dagokio, ez VPN profilari.

Erregistratu sarbide-gertaerak eta berriz konektatzearen orduak elkarrekin astebetez. Dagokion sarbide-gertaerarik gabeko aldaketa errepikakorrek sarbide-zerbitzua seinalatzen dute, eta VPN profila ordezteak ez du etengabe birnegoziatzen duen uplink bat konponduko. Minutu bereko sarrera pare batek gertaera horretarako galdera argitzen du eta hurrengoari oinarri-lerro bat ematen dio.