De iepenbiere IP feroare en de VPN hold op mei it trochjaan fan ferkear

In werferbining by de provider of in feroaring yn ’e streamop-oersetting feroaret de iepenbiere boarne fan in VPN-sesje, wylst it pleatslike privee-adres fan ’e klant meastentiids krekt bliuwt sa’t it wie. Dan liket de tunnel ferbûn wylst der neat nuttich trochhinne giet. Beide waarnimmings binne tagelyk wier, en dat is krekt wat it rapport betiizjend makket.

Wurkje de fjouwer kontrôles op folchoarder troch en stop by de earste dy’t mislearret.

Hokker adres feroare eins

Fergelykje de tastân fan ’e pleatslike ynterface mei de boarne dy’t in ôfstân-einpunt sjocht, op in punt dêr’t jo tastimming hawwe om te sjen. In nij iepenbier adres betsjut net in nije pleatslike gateway, en in feroaring fan ’e pleatslike ynterface garandearret ek net dat de iepenbiere boarne ferhuze is. Oersetting dertusken betsjut dat it twa ûnôfhinklike feiten binne. Skriuw it krekte paad en de tiid op wêryn’t jo it waarnommen, want in geolokaasjelabel dat fan in âld rapport kopiearre is, beantwurdet in oare fraach.

Freegje spesifyk oft de bûtenste boarne feroare is, it binnenste tunneladres feroare is, of beide. Allinne it earste ferklearret in partner dy’t trochgiet mei stjoeren nei in paad dat net mear bestiet.

Lit it protokol de ferhuzing ôfhandelje

Protokollen ferskille yn hoe’t se leare dat in partner ferhuze is, en it ferskil makket út oft jo wol yntervenje moatte. WireGuard fernijt it einpunt fan in partner as it in pakket ûntfangt dat autentisearret ûnder de kaai fan dy partner, en dêrom kin in adresferoaring sûnder hokker konfiguraasje dan ek opnommen wurde. IKEv2 hat MOBIKE foar itselde doel wêr’t beide einen it stypje. Aldere ûntwerpen herstelle troch de tunnel opnij te bouwen.

Wat jo net dwaan moatte, is in net-autentisearre berjocht as bewiis akseptearje dat de identiteit fan in partner ferhuze is. It is triviaal om in datagram te ferfalskjen dat in nij adres beweart, en in klant dy’t leaut dat er nei it einpunt fan in oanfaller stjoerd wurde kin. It autentisearre protokol is it meganisme; in notifikaasje is dat net.

wg show wg0 endpoints
wg show wg0 latest-handshakes
conntrack -L -p udp --dport 51820 | head -n 10

Wiskje de ferâldere bûtenste bining

Wannear’t it protokol roaming wol stipet en it ferkear dochs mislearret, is it obstakel faak steat-hâldende apparatuer yn ’e midden of in belied oan ’e fiere kant. In firewall dy’t de âlde stream folge, kin de ferâldere yngong hâlde, en in tagongsregel oan ’e tsjinnerkant, kaaid oan ’e âlde boarne, sil de nije stilwei falle litte. It skjinmeitsjen fan ’e mapping en it opnij kontrolearjen fan ’e regel is flugger as it ferfangen fan ’e ynloggegevens.

Hâld de fereaske blokkearring yn krêft wylst jo ûndersykje. It belied breed iepenje om te testen oft de tunnel herstelt, leart jo neat oer de oarsaak en lit de ynsetting slimmer efter as jo it oantroffen hawwe.

Test opnij mei in nije oanfraach

In applikaasjesesje dy’t foar de feroaring oprjochte is, oerlibbet it net, want de fjouwer-tupel dêr’t er op boud is, bestiet net mear. Meitsje nei it herstel in nije oanfraach en befêstigje dat er foltôget, ynstee fan te sjen hoe’t in âlde download op nul bliuwt stean en te konkludearjen dat de tunnel noch hieltyd stikken is. Krekt dat iene ûnderskie lost in grut part fan dizze rapporten op.

Skriuw dan beide helten fan ’e diagnoaze op: wat streamop feroare en hokker stipe herstelstap de stream werombrocht. De folgjende kear sil flugger wêze, en de notysje is wat it flugger makket.

As in nije oanfraach slagget en de âlde nea wer opnaam wurdt, is de tunnel reparearre en moat de applikaasje gewoan opnij ferbine.