WAN-IP is feroare en de tunnel foel fuort: de kontrôles yn folchoarder

De tunnel falt fuort, de router registrearret in werferbining, en neat op it LAN hat beweegd. In nij WAN-adres makket de bûtenferbining ûnjildich sûnder eat fan binnen te feroarjen: it boarne-adres fan 'e klant is feroare, de âlde NAT-steat wiist nei in boarne dy't net mear bestiet, en de ôfstâne peer stjoert miskien noch nei it foarige adres. Herstel is normaal gedrach, en de nuttige fraach is hokker steat net bywurke is.

Nammje it evenemint foardat jo it log lêze

Kontrolearje wat der echt op 'e tagongslayer barde. In fernijing fan 'e ISP-hier is ien evenemint. In PPPoE-sesje dy't wer ferbûn is, is in oar. In glêsfezelmoadem dy't opnij opstart is, of in WAN-oerskeakeling fan ien uplink nei in oare, feroaret it bûtenadres of syn paad op in tredde wize. It binne net itselde evenemint en se litte net itselde rest efter.

In werferbiningsrigel yn it VPN-log is ek gjin bewiis fan in WAN-feroaring. In idle-timeout, in werautentikaasje-ynterval en it opspoaren fan deade peers leverje allegear werferbiningen sûnder hokker adresferoaring dan ek. Fergelykje tiidstimpels fan it tagongslog mei it VPN-log foardat jo eat konkludearje, en hâld it fergelykingsfinster breed genôch om in feroaring dy't nachts barde te fangen.

Roaming en werferbining binne ferskate protokollen

WireGuard hat autentisearre roaming yn it protokol ynboud: as in peer in korrekt autentisearre pakket fan in nij boarne-adres krijt, wurket it einpunt fan dy peer by. De flugge start fan WireGuard beskriuwt de peer-konfiguraasje dy't dit mooglik makket, en dêrom herstelt in klant op in feroarjend adres faak sûnder sichtbere werstart.

OpenVPN gedraacht him standert oars. In UDP-sesje kin einigje en wer ferbine, en it opsjonele float-gedrach lit in autentisearre peer trochgean fan in nij adres wêr't de konfiguraasje dat talit. TCP-basearre tunnels binne stranger, om't de ferbining sels oan it adrespear bûn is. Dat ferskil beslút oft it herstel ûnsichtber liket of him elke kear yn it log oankundiget.

Gjin fan beide gedraachen seit eat oer de applikaasjes fan binnen. In herstelde tunnel restaurearret gjin TCP-sesje dy't de peer al dea achte.

Steat dy't de tunnel net besit

Oersettings- en routingsteat oerlibbet de werferbining op manieren dy't minsken ferrasse. In conntrack-ynfier makke foar de âlde boarne hâldt it antwurdpaad ferankere oan in adres dat net mear bestiet, en it ferrint neffens syn eigen skema, net doe't de tunnel weromkaam. It werstarten fan 'e tunneltsjinst ferkoartet dat wachtsjen net, dêrom kin in reparearre keppeling der noch in skoftke brutsen útsjen.

Rûtes en beliedsregels kinne nei de âlde gateway of ynterface ferwize. In regelset dat foar in WAN-oerskeakeling korrekt wie, kin nei in apparaat wize dat no del is, wat in tunnel opleveret dy't as ferbûn rapporteart en ferkear dat nearne hinne giet. Dynamyske DNS foar in server dy't jo hostje is in apart probleem fan in klant dy't in nije boarne krijt. It record moat bywurke wurde sadat ôfstâne klanten jo fine, en gjin konfiguraasje oan 'e klantkant kompensearret in adres dat oersetting streamop net trochstjoere sil.

Oarderje de kontrôles fan bûten nei binnen

De folchoarder hjirûnder rint fan 'e bûtenferbining nei binnen, en stopje by de earste mislearjende stap is wat it nuttich makket: elke passaazje slút de laach derboppe út. Hâld dy folchoarder sels as de fout fanselssprekkend liket.

wg show
ip -br addr show
ip route get 198.51.100.7
conntrack -L 2>/dev/null | grep -c ESTABLISHED
journalctl -u openvpn-client@home --since '-2 hours' | tail -n 40

It earste kommando toant it hjoeddeistige einpunt en de âldens fan 'e hânskodding foar elke peer. It twadde en tredde toane oft it bûtenynterface en de rûte nei it einpunt noch sin hawwe. It conntrack-oantal is in grove kontrôle foar steat dy't fan it foarige adres oerbliuwt, en it journal is it plak dêr't de reden fan 'e werferbining fêstlein wurdt.

Testje dan fan in LAN-klant ynstee fan fan 'e router. In ping stjoerd troch de router sels brûkt in oar paad as trochstjoerd ferkear, dat in slagge router-ping bewiist dat de tunnel bestiet en neat oer de berikberens fan 'e klant.

Beslút it ferwachte gedrach en skriuw it op

Werferbine is korrekt gedrach foar de measte útrols, dat it doel is net om it te foarkommen. Beslút ynstee wat der mei ferkear yn 'e gat barre moat: it stopje, it fêsthâlde, of oergean nei in oar paad. Dat beslút heart by de firewall en it routingbelied, net by it VPN-profyl.

Skriuw de tagongseveneminten en de werferbiningstiiden in wike tegearre op. Werhelle feroarings sûnder in byhearrend tagongsevenemint wize op 'e tagongstsjinst, en it ferfangen fan it VPN-profyl sil in uplink dy't hieltyd wer opnij ûnderhannelet net reparearje. Ien pear ynfier yn deselde minút beslist de fraach foar dat ynsidint en jout it folgjende in basisline.