Megváltozott a nyilvános IP, és a VPN abbahagyta a forgalom átvitelét

A szolgáltatónál történő újracsatlakozás vagy a felsőbb szintű fordítás megváltozása módosítja egy VPN-munkamenet nyilvános forrását, miközben az ügyfél helyi privát címe általában pontosan úgy marad, ahogy volt. Az alagút ekkor csatlakozottnak látszik, miközben semmi hasznos nem halad át rajta. Mindkét megfigyelés egyszerre igaz, és éppen ez teszi zavaróvá a jelentést.

Vegye sorra a négy ellenőrzést, és álljon meg az elsőnél, amelyik sikertelen.

Melyik cím változott meg valójában

Hasonlítsa össze a helyi interfész állapotát azzal a forrással, amelyet egy távoli végpont lát, olyan ponton, ahol jogosult belenézni. Egy új nyilvános cím nem jelent új helyi átjárót, és a helyi interfész változása sem garantálja, hogy a nyilvános forrás elmozdult. A köztes fordítás azt jelenti, hogy ez két független tény. Jegyezze fel a pontos útvonalat és az időpontot, amikor megfigyelte, mert egy régi jelentésből másolt geolokációs címke más kérdésre válaszol.

Kérdezze meg konkrétan, hogy a külső forrás változott-e meg, a belső alagútcím, vagy mindkettő. Csak az első magyarázza meg azt a partnert, amely továbbra is egy már nem létező útvonalra küld.

Hagyja, hogy a protokoll kezelje az elmozdulást

A protokollok abban különböznek, hogyan értesülnek arról, hogy egy partner elmozdult, és a különbség számít abban, hogy egyáltalán be kell-e avatkoznia. A WireGuard frissíti a partner végpontját, amikor olyan csomagot kap, amely a partner kulcsával hitelesíthető, ezért egy címváltozás minden konfiguráció nélkül felszívható. Az IKEv2-ben MOBIKE szolgál ugyanerre a célra, ahol mindkét fél támogatja. A régebbi tervek ehelyett az alagút újjáépítésével állnak helyre.

Amit nem szabad tennie, az az, hogy egy hitelesítetlen üzenetet annak bizonyítékaként fogadjon el, hogy egy partner identitása elmozdult. Egy új címet állító datagramot meghamisítani triviális, és egy ügyfél, amely hisz abban, hogy a támadó végpontjára irányítható. A hitelesített protokoll a mechanizmus; egy értesítés nem az.

wg show wg0 endpoints
wg show wg0 latest-handshakes
conntrack -L -p udp --dport 51820 | head -n 10

Törölje az elavult külső kötést

Amikor a protokoll támogatja a roamingot, és a forgalom mégis meghiúsul, az akadály gyakran állapotot tartó eszköz a középen vagy egy házirend a távoli végén. Egy tűzfal, amely a régi folyamot követte, megtarthatja az elavult bejegyzést, és egy kiszolgálóoldali hozzáférési szabály, amely a régi forráshoz kötődik, csendben eldobja az újat. A leképezés tisztítása és a szabály újraellenőrzése gyorsabb, mint a hitelesítő adatok cseréje.

Tartsa érvényben a szükséges blokkolást a vizsgálat alatt. A szabályzat szélesre tárása annak teszteléséhez, hogy helyreáll-e az alagút, semmit nem tanít az okról, és rosszabbul hagyja a telepítést, mint ahogy találta.

Tesztelje újra egy friss kéréssel

A változás előtt létrehozott alkalmazás-munkamenet nem éli túl, mert a négyes, amelyre épült, már nem létezik. A helyreállás után hozzon létre új kérést, és erősítse meg, hogy befejeződik, ahelyett hogy nézné, amint egy régi letöltés nullán áll, és arra következtetne, hogy az alagút még mindig törött. Ez az egyetlen különbségtétel oldja meg e jelentések nagy részét.

Ezután jegyezze fel a diagnózis mindkét felét: mi változott a felsőbb szinten, és melyik támogatott helyreállítási lépés állította vissza a folyamot. A következő eset gyorsabb lesz, és a feljegyzés az, ami gyorsabbá teszi.

Ha egy új kérés sikeres, a régi pedig soha nem indul újra, az alagutat megjavították, és az alkalmazásnak egyszerűen újra kell csatlakoznia.