VPN תקוע לאחר אתחול הראוטר: שלושה דברים שהשתנו

הראוטר מסיים לעלות, המחשב הנייד חוזר ומצטרף לאותו SSID, וה-VPN נשאר במצב מחובר בלי ששום דבר זז. הפרופיל השמור שלם. מה שפג מתחתיו היה הנתיב, והלקוח עדיין מחזיק במצב שבנה עבור הקודם.

שלושה תנאים קובעים את התיקון. בדקו אותם לפי הסדר, כי המאוחרים הם מאמץ מבוזבז אם הראשון כבר מסביר את התקיעה.

תנאי ראשון: הכתובת המקומית השתנתה

אתחול יכול לתת למכונה כתובת אחרת. אז VPN שהוגדר עם נקודת קצה מקומית קבועה ממשיך להשתמש בחיבור שכבר אינו קיים. כך גם בלקוח שקשר את ה-socket שלו לכתובת הישנה. ממשק המנהרה יכול להישאר פעיל בעוד כל מנה שהוא מייצר הולכת למקום חסר תועלת.

השוו את הכתובת שהלקוח משתמש בה לכתובת שיש לממשק עכשיו. מסלול ברירת מחדל שמצביע לשער שגם הוא השתנה הוא אותה סוגיה בשם אחר.

ip -4 addr show
ip route show default
ip route get 203.0.113.10

תנאי שני: המיפוי המתורגם נעלם

ראוטרים ביתיים מתרגמים זרימות יוצאות, והמיפויים האלה חיים בזיכרון. אתחול מוחק כל אחד מהם. זה בלתי מזיק לחיבור חדש והרה אסון למנהרה שמאמינה שהזרימה הקיימת שלה עדיין תקפה. אז הצד השני לא רואה דבר, ולכן הלקוח לא מקבל שגיאה שהוא יכול לפעול לפיה.

כאן מנהרה בלי keepalive נתקעת בשקט במקום להיכשל בקול. המגבלות המתועדות של WireGuard מתארות אותה צורת כשל. מצב נקודת קצה שגוי מייצר מנות שנזרקות במקום אבחון.

keepalive מתמשך של 25 שניות הוא ההקלה הרגילה, כי הוא מרענן את המיפוי לפני שזמן הקצוב לחוסר פעילות יכול לפוג. הוא לא מתקן מיפוי שכבר נעלם. שלבו את ה-keepalive עם לוגיקת התחברות מחדש במקום להתייחס אליו כתיקון.

תנאי שלישי: הכתובת הציבורית השתנתה

אם הכתובת החיצונית של הראוטר עצמו השתנתה, כל דבר בצד השני שמסנן לפי כתובת מקור רואה עכשיו עמית אחר. המנהרה יכולה לעלות והשרת עדיין עלול להשליך את התעבורה, מה שנראה כמו לקוח מקולקל ולמעשה הוא מדיניות בצד השני.

רשמו את הכתובת החיצונית לפני האתחול ואחריו. כשהן שונות, השאלה עוברת מהלקוח למי שמתחזק את רשימת ההיתרים, ואיפוס פרטי הכניסה במחשב הנייד לא יכול לעזור.

שחזרו לפי הסדר הנכון

השלימו קודם כל כניסה נדרשת בפורטל לכידה, ואז תנו ללקוח להתחבר מחדש בהליך הנתמך שלו במקום להרוג את התהליך. שימו לב אם הזהות ותעבורת הנתונים חוזרות שתיהן, כי אלה שני שלבים שונים של אותו חיבור.

דף שמור במטמון לא מוכיח דבר, וגם לא אפליקציית צ'אט שהתחברה מחדש בעצמה. בדקו את נקודת הקצה שבאמת חשובה לכם בבקשה חדשה. השאירו את מדיניות התעבורה הישירה בתוקף במהלך ההפסקה, כי ניסיון התחברות מחדש אינו חסימה.

כשזה חוזר אחרי כל אתחול, הרשומה חשובה יותר מהניסיון החוזר. רשמו את הכתובת המקומית, את השער, את הכתובת החיצונית ואת מצב הלקוח לפני ואחרי, ואז השוו את שתי העמודות. זה הופך תלונה מעורפלת לתקלת מחזור חיים שמישהו יכול לתקן, וזה עוצר את החלפת התעודות בפעם השלישית בגלל פקיעת זמן של המיפוי.