Julkinen IP vaihtui ja VPN lakkasi välittämästä liikennettä

Operaattorin uudelleenyhdistäminen tai muutos ylävirran käännöksessä muuttaa VPN-istunnon julkista lähdettä, kun taas asiakkaan paikallinen yksityinen osoite pysyy yleensä täsmälleen ennallaan. Silloin tunneli näyttää yhdistetyltä, vaikka sen läpi ei kulje mitään hyödyllistä. Molemmat havainnot pitävät paikkansa samaan aikaan, ja juuri se tekee raportista hämmentävän.

Käy neljä tarkistusta läpi järjestyksessä ja pysähdy ensimmäiseen, joka epäonnistuu.

Mikä osoite oikeasti vaihtui

Vertaa paikallisen liitännän tilaa lähteeseen, jonka etäinen päätepiste näkee, kohdassa, jossa sinulla on lupa katsoa. Uusi julkinen osoite ei tarkoita uutta paikallista yhdyskäytävää, eikä paikallisen liitännän muutos takaa, että julkinen lähde on siirtynyt. Käännös välissä tarkoittaa, että kyse on kahdesta riippumattomasta tosiasiasta. Kirjaa tarkka reitti ja aika, jolloin havaitsit sen, koska vanhasta raportista kopioitu geolokaatioleima vastaa eri kysymykseen.

Kysy nimenomaisesti, vaihtuiko ulompi lähde, sisempi tunneliosoite vai molemmat. Vain ensimmäinen selittää vertaisen, joka lähettää edelleen reitille, jota ei enää ole.

Anna protokollan hoitaa siirto

Protokollat eroavat siinä, miten ne saavat tietää vertaisen siirtyneen, ja ero on merkityksellinen sen kannalta, pitäisikö sinun ylipäätään puuttua. WireGuard päivittää vertaisen päätepisteen, kun se vastaanottaa paketin, joka todennetaan kyseisen vertaisen avaimella, minkä vuoksi osoitteen muutos voidaan omaksua ilman mitään kokoonpanoa. IKEv2:ssa on MOBIKE samaan tarkoitukseen silloin, kun molemmat päät tukevat sitä. Vanhemmat mallit toipuvat rakentamalla tunnelin uudelleen.

Sitä sinun ei pitäisi tehdä, että hyväksyt todentamattoman viestin todisteeksi siitä, että vertaisen identiteetti on siirtynyt. Uutta osoitetta väittävän datagrammin väärentäminen on triviaalia, ja asiakas, joka uskoo, että se voidaan ohjata hyökkääjän päätepisteeseen. Todennettu protokolla on mekanismi; ilmoitus ei ole.

wg show wg0 endpoints
wg show wg0 latest-handshakes
conntrack -L -p udp --dport 51820 | head -n 10

Tyhjennä vanhentunut ulkoinen sidonta

Kun protokolla tukee roamingia ja liikenne silti epäonnistuu, esteenä on usein tilaa ylläpitävä laite välissä tai käytäntö kaukopäässä. Vanhaa virtaa seurannut palomuuri voi pitää vanhentuneen merkinnän, ja vanhaan lähteeseen sidottu palvelinpuolen käyttösääntö pudottaa uuden hiljaisesti. Mappauksen siivoaminen ja säännön uudelleentarkistus on nopeampaa kuin tunnistetietojen vaihtaminen.

Pidä vaadittu esto voimassa tutkiessasi. Käytännön avaaminen selkoselälleen sen testaamiseksi, toipuuko tunneli, ei opeta sinulle syystä mitään ja jättää käyttöönoton huonompaan kuntoon kuin löysit sen.

Testaa uudelleen tuoreella pyynnöllä

Ennen muutosta perustettu sovellusistunto ei selviä siitä, koska nelikko, jonka varaan se rakennettiin, ei enää ole olemassa. Luo uusi pyyntö palautumisen jälkeen ja vahvista, että se valmistuu, sen sijaan että katselet vanhan latauksen seisovan nollassa ja päättelet tunnelin olevan edelleen rikki. Juuri tämä yksi ero ratkaisee suuren osan näistä raporteista.

Kirjaa sitten diagnoosin molemmat puolet: mikä muuttui ylävirrassa ja mikä tuettu palautumisaskel palautti virran. Seuraava kerta on nopeampi, ja muistiinpano on se, mikä tekee siitä nopeamman.

Jos uusi pyyntö onnistuu eikä vanha koskaan jatku, tunneli korjattiin ja sovelluksen täytyy vain yhdistää uudelleen.