VPN mrtav nakon sna: izgubljeni tunel ili zastarjela aplikacija?

Poklopac se otvara, ikona bežične mreže se vraća, a VPN se i dalje prikazuje kao povezan. Prva interna stranica zatim visi dok ne istekne vrijeme, a nova kartica radi isto. Tri različite stvari mogu stvoriti tu sliku i traže tri različita popravka: tunel koji nije preživio san, profil koji niko nije tražio da se ponovo aktivira, ili aplikacija koja još drži sesiju umrlu prije nekoliko sati. Upoređivanje je brže od ponovne instalacije bilo čega.

Tri stvari se mogu pokvariti nakon buđenja

Prvi kandidat je sam tunel. Interfejs može još postojati s adresom dok je veza s peerom nestala, zato indikator nije dokaz ispravne putanje. Rukovanje starije od sna je znak, a za to je dovoljna jedna komanda.

Drugi je aktivacija. Mnogi klijenti se sami ponovo povezuju; neki ne, a profil koji niko ne pozove da se vrati samo stoji i izgleda konfigurisano. Taj kvar je tih po dizajnu, jer ništa nije prijavilo grešku.

Treći je aplikacija. Kartica preglednika, SSH sesija ili veza s bazom mogu preživjeti promjenu mreže kao datotečni deskriptor dok je transport ispod njih mrtav. Nova sesija tada radi savršeno, što vam kaže da je tunel cijelo vrijeme bio u redu.

Uporedite sve tri prije nego što bilo šta promijenite, jer se popravci ne preklapaju. Restartovanje klijenta koji nikada nije bio pozvan da se ponovo pokrene troši dokaz koji vam je trebao. Zapišite kojem kandidatu simptom odgovara prije nego što dotaknete konfiguraciju. Ta jedna rečenica obično odlučuje ostatak istrage.

Prvo: je li se tunel vratio?

Gledajte interfejs i stanje peera, a ne vlastiti tekst statusa klijenta. Interfejs s adresom i bez skorašnjeg rukovanja je tunel koji postoji samo na papiru.

ip -brief addr show
wg show
ip route show table all | head -20

Ako interfejs potpuno nedostaje, tunel nije preživio i pitanje postaje ko ga je trebao vratiti. Ako postoji ali je rukovanje staro, vezu s peerom treba ponovo uspostaviti, a klijent možda čeka saobraćaj da je pokrene.

Provjerite i rute i DNS konfiguraciju. Tunel se može vratiti bez svojih ruta, što stvara zbunjujuće stanje u kojem je interfejs aktivan a interna imena se još razrješavaju preko pogrešnog servera.

Drugo: je li iko tražio da se vrati?

Ovdje poređenje opravdava sebe. OpenVPN profil dodatka i izvorna WireGuard veza se različito obrađuju u NetworkManageru, a referenca za postavke veze izričito kaže da connection.autoconnect ne aktivira VPN profile; mehanizam za podizanje VPN-a uz vezu je connection.secondaries.

nmcli connection show --active
nmcli -f connection.autoconnect,connection.secondaries connection show "Work VPN"
journalctl -u NetworkManager -b --no-pager | tail -40

Ako ručno ponovno povezivanje popravi problem svaki put, to je potpis nedostajuće aktivacije, a ne pokvarenog tunela. Dnevnik će obično pokazati kako interfejs pada i ništa ga ne vraća.

Oduprite se porivu da odmah dodate hook za san. Hook koji se pokrene prije nego što se mreža oporavi utrkuje se s procesom kojem pokušava pomoći i pretvara ponovljiv problem u povremen.

Treće: drži li aplikacija staro stanje?

Otvorite potpuno novu sesiju prema istom odredištu prije nego što dotaknete VPN. Ako nova sesija radi a stara ne, tunel je u redu i aplikacija drži mrtvu vezu.

Ovo je najjeftinija od tri provjere i ona koja se najčešće preskače, jer je prozor kvara odmah na ekranu. Zatvorite ga, otvorite ponovo i zabilježite da li problem preživljava. Ako nova sesija radi, potpuno prekinite istragu o tunelu. Ako i ona padne, aplikacija je simptom a ne uzrok.

Neke aplikacije se same oporave nakon isteka vremena, zato se može činiti da se simptom sam popravi nakon nekoliko minuta. Takvo ponašanje upućuje na aplikaciju a ne na tunel, i vrijedi ga zabilježiti odvojeno. Kolega koji kaže da se samo popravilo opisuje taj obrazac, a ne sreću.

Učinite poređenje ponovljivim

Držite varijable malim: jedna pristupna mreža, jedno trajanje sna i isti prvi zahtjev svaki put. Zatim zabilježite dva ishoda: popravlja li ga ručno povezivanje i vraća li ga još jedan san.

To posljednje zapažanje najpouzdanije razdvaja tri kandidata. Nova sesija koja radi nakon neuspjele stare nije problem tunela i nikakva reinstalacija klijenta to neće promijeniti.

WireGuardov trajni keepalive pripada ovoj slici samo kao keepalive za NAT mapiranje. On šalje pakete da održi mapiranje otvorenim; ne sprječava mašinu da zaspi i ne može nastaviti slati dok je proces obustavljen.

Zapišite u tiketu šta ste našli: koje je od tri bilo pokvareno, šta ga je popravilo i kako ste to ponovili. Sljedeća osoba koja u ponedjeljak otvori poklopac bit će vam zahvalna, a odgovor neće morati biti ponovo otkriven od nule.