כתובת ה-IP הציבורית השתנתה וה-VPN הפסיק להעביר תעבורה

התחברות מחדש אצל ספק האינטרנט או שינוי בתרגום במעלה הזרם משנה את המקור הציבורי של הפעלת VPN, בעוד הכתובת הפרטית המקומית של הלקוח נשארת בדרך כלל בדיוק כפי שהייתה. אז המנהרה נראית מחוברת בעוד שדבר מועיל אינו עובר דרכה. שתי התצפיות נכונות בו-זמנית, וזה מה שהופך את הדוח למבלבל.

עברו על ארבע הבדיקות לפי הסדר, ועצרו בראשונה שנכשלת.

איזו כתובת באמת השתנתה

השוו את מצב הממשק המקומי למקור שקצה מרוחק רואה, בנקודה שבה יש לכם הרשאה להסתכל. כתובת ציבורית חדשה אינה מרמזת על שער מקומי חדש, וגם שינוי בממשק המקומי אינו מבטיח שהמקור הציבורי זז. תרגום באמצע אומר שאלה שתי עובדות בלתי תלויות. רשמו את הנתיב המדויק ואת הזמן שבו צפיתם בו, כי תווית מיקום גיאוגרפי שהועתקה מדוח ישן עונה על שאלה אחרת.

שאלו במפורש אם המקור החיצוני השתנה, הכתובת הפנימית של המנהרה השתנתה, או שתיהן. רק הראשונה מסבירה עמית שממשיך לשלוח לנתיב שאינו קיים עוד.

תנו לפרוטוקול לטפל במעבר

פרוטוקולים נבדלים באופן שבו הם לומדים שעמית עבר, וההבדל חשוב לשאלה אם עליכם להתערב בכלל. WireGuard מעדכן את נקודת הקצה של עמית כשהוא מקבל מנה שמאומתת במפתח של אותו עמית, ולכן שינוי כתובת יכול להיספג בלי שום תצורה. ל-IKEv2 יש MOBIKE לאותה מטרה במקום ששני הקצוות תומכים בו. עיצובים ישנים יותר מתאוששים על ידי בנייה מחדש של המנהרה.

מה שאסור לכם לעשות הוא לקבל הודעה לא מאומתת כהוכחה שזהותו של עמית עברה. זיוף דטגרם שמצהיר על כתובת חדשה הוא קל, ולקוח שמאמין שאפשר להפנות אותו לנקודת הקצה של התוקף. הפרוטוקול המאומת הוא המנגנון; התראה אינה.

wg show wg0 endpoints
wg show wg0 latest-handshakes
conntrack -L -p udp --dport 51820 | head -n 10

נקו את הכריכה החיצונית המיושנת

כשהפרוטוקול תומך בנדידה והתעבורה עדיין נכשלת, המכשול הוא לעתים קרובות ציוד ששומר מצב באמצע או מדיניות בקצה המרוחק. חומת אש שעקבה אחר הזרימה הישנה עלולה לשמור את הרשומה המיושנת, וכלל גישה בצד השרת שנקשר למקור הישן יפיל את החדש בשקט. ניקוי המיפוי ובדיקה חוזרת של הכלל מהירים יותר מהחלפת פרטי הגישה.

השאירו את החסימה הנדרשת בתוקף בזמן החקירה. פתיחת המדיניות לרווחה כדי לבדוק אם המנהרה מתאוששת לא מלמדת אתכם דבר על הסיבה ומשאירה את הפריסה גרועה מכפי שמצאתם.

בדקו שוב עם בקשה חדשה

הפעלת יישום שנוצרה לפני השינוי אינה שורדת אותו, כי הרביעייה שעליה היא נבנתה אינה קיימת עוד. צרו בקשה חדשה אחרי ההתאוששות ואשרו שהיא מושלמת, במקום לצפות בהורדה ישנה עומדת על אפס ולהסיק שהמנהרה עדיין שבורה. אותו הבדל יחיד פותר חלק גדול מהדוחות האלה.

אחר כך רשמו את שני חצאי האבחון: מה השתנה במעלה הזרם, ואיזה שלב התאוששות נתמך החזיר את הזרימה. הפעם הבאה תהיה מהירה יותר, וההערה היא מה שעושה אותה מהירה יותר.

אם בקשה חדשה מצליחה והישנה לעולם אינה מתחדשת, המנהרה תוקנה והיישום פשוט צריך להתחבר מחדש.