WAN-ի IP-ն փոխվել է, և թունելն ընկել է՝ ստուգումները հերթականությամբ

Թունելն ընկնում է, երթուղիչը գրանցում է վերամիացում, և տեղական ցանցում ոչինչ չի շարժվել։ Նոր WAN հասցեն անվավեր է դարձնում արտաքին կապը՝ ներսում ոչինչ չփոխելով․ հաճախորդի աղբյուրի հասցեն փոխվել է, հին NAT վիճակը ցույց է տալիս աղբյուր, որն այլևս չկա, և հեռավոր գործընկերը կարող է դեռ ուղարկել նախորդ հասցեին։ Վերականգնումը նորմալ վարք է, և օգտակար հարցն այն է, թե որ վիճակը չթարմացվեց։

Անվանեք դեպքը նախքան մատյանը կարդալը

Ստուգեք, թե ինչ իրականում տեղի ունեցավ մուտքի շերտում։ ISP-ի վարձակալության թարմացումը մեկ դեպք է։ Վերամիացած PPPoE սեսիան մեկ այլ դեպք է։ Վերագործարկված օպտիկական մոդեմը կամ WAN-ի անցումը մի կապից մյուսին փոխում է արտաքին հասցեն կամ դրա ուղին երրորդ ձևով։ Դրանք նույն դեպքը չեն և նույն մնացորդը չեն թողնում։

VPN-ի մատյանում վերամիացման տողը նույնպես WAN-ի փոփոխության ապացույց չէ։ Անգործության ժամկետը, վերահաստատման միջակայքը և մեռած գործընկերոջ հայտնաբերումը բոլորը վերամիացումներ են առաջացնում առանց հասցեի որևէ փոփոխության։ Նախքան որևէ եզրակացություն անելը համեմատեք մուտքի մատյանի ժամային նշանները VPN-ի մատյանի հետ և համեմատության պատուհանը պահեք բավական լայն, որպեսզի բռնեք գիշերվա ընթացքում տեղի ունեցած փոփոխությունը։

Ռոումինգը և վերամիացումը տարբեր արձանագրություններ են

WireGuard-ն ունի ներկառուցված վավերացված ռոումինգ․ երբ գործընկերը ստանում է ճիշտ վավերացված փաթեթ նոր աղբյուրի հասցեից, այն թարմացնում է այդ գործընկերոջ վերջնակետը։ WireGuard-ի արագ մեկնարկը նկարագրում է գործընկերոջ կոնֆիգուրացիան, որն սա հնարավոր է դարձնում, և դրա համար էլ փոփոխվող հասցեում գտնվող հաճախորդը հաճախ վերականգնվում է առանց տեսանելի վերագործարկման։

OpenVPN-ը լռելյայն այլ կերպ է վարվում։ UDP սեսիան կարող է ավարտվել և նորից միանալ, և ընտրովի float վարքը թույլ է տալիս վավերացված գործընկերոջը շարունակել նոր հասցեից այնտեղ, որտեղ կոնֆիգուրացիան դա թույլ է տալիս։ TCP-ի վրա հիմնված թունելներն ավելի խիստ են, քանի որ ինքը կապը կապված է հասցեների զույգին։ Այդ տարբերությունն է որոշում՝ վերականգնումը անտեսանելի կթվա, թե ամեն անգամ կհայտարարվի մատյանում։

Վարքերից ոչ մեկը ոչինչ չի ասում ներքին հավելվածների մասին։ Վերականգնված թունելը չի վերականգնում TCP սեսիան, որը գործընկերն արդեն մեռած էր համարում։

Վիճակ, որը թունելը չի տիրապետում

Թարգմանության և երթուղավորման վիճակը վերապրում է վերամիացումը մարդկանց զարմացնող ձևերով։ Հին աղբյուրի համար ստեղծված conntrack գրառումը պատասխանի ուղին ամրացնում է հասցեին, որն այլևս չկա, և այն սպառվում է իր ժամանակացույցով, ոչ թե այն պահին, երբ թունելը վերադարձավ։ Թունելի ծառայության վերագործարկումը չի կրճատում այդ սպասումը, ուստի վերանորոգված կապը որոշ ժամանակ դեռ կարող է կոտրված թվալ։

Երթուղիները և քաղաքականության կանոնները կարող են հղում կատարել հին դարպասին կամ ինտերֆեյսին։ WAN-ի փոխարկումից առաջ ճիշտ կանոնների հավաքածուն կարող է մատնանշել սարք, որն այժմ անջատված է, ինչը ստեղծում է թունել, որը հաղորդում է միացվածության մասին, և երթևեկություն, որը ոչ մի տեղ չի գնում։ Ձեր հյուրընկալած սերվերի դինամիկ DNS-ը առանձին խնդիր է նոր աղբյուր ստացող հաճախորդից։ Գրառումը պետք է թարմացվի, որպեսզի հեռավոր հաճախորդները գտնեն ձեզ, և ոչ մի հաճախորդային կոնֆիգուրացիա չի փոխհատուցում հասցեն, որը վերին մակարդակի թարգմանությունը չի փոխանցի։

Դասավորեք ստուգումները դրսից ներս

Ստորև բերված հերթականությունը գնում է արտաքին կապից ներս, և առաջին ձախողված քայլին կանգ առնելն է այն օգտակար դարձնում․ ամեն անցում բացառում է իրենից վերև գտնվող շերտը։ Պահեք այդ հերթականությունը նույնիսկ այն ժամանակ, երբ անսարքությունը ակնհայտ է թվում։

wg show
ip -br addr show
ip route get 198.51.100.7
conntrack -L 2>/dev/null | grep -c ESTABLISHED
journalctl -u openvpn-client@home --since '-2 hours' | tail -n 40

Առաջին հրամանը ցույց է տալիս ընթացիկ վերջնակետը և ձեռքսեղմման տարիքը յուրաքանչյուր գործընկերոջ համար։ Երկրորդը և երրորդը ցույց են տալիս՝ արդյոք արտաքին ինտերֆեյսը և դեպի վերջնակետ տանող երթուղին դեռ իմաստ ունեն։ conntrack-ի քանակը կոպիտ ստուգում է նախորդ հասցեից մնացած վիճակի համար, և մատյանն այն տեղն է, որտեղ գրանցվում է վերամիացման պատճառը։

Այնուհետև փորձարկեք տեղական ցանցի հաճախորդից, ոչ թե երթուղիչից։ Երթուղիչի իսկ կողմից ուղարկված ping-ը օգտագործում է այլ ուղի, քան փոխանցված երթևեկությունը, ուստի երթուղիչից հաջող ping-ը ապացուցում է թունելի գոյությունը և ոչինչ՝ հաճախորդի հասանելիության մասին։

Որոշեք սպասվող վարքը և գրի առեք այն

Վերամիացումը ճիշտ վարք է տեղակայումների մեծ մասի համար, ուստի նպատակը դա կանխելը չէ։ Փոխարենը որոշեք, թե ինչ պետք է պատահի երթևեկությանը ընդմիջման ընթացքում՝ կանգնեցնել այն, պահել, թե անցնել այլ ուղու։ Այդ որոշումը պատկանում է հրապարակին և երթուղավորման քաղաքականությանը, ոչ թե VPN-ի պրոֆիլին։

Գրանցեք մուտքի դեպքերը և վերամիացման ժամերը միասին մեկ շաբաթ։ Կրկնվող փոփոխությունները համապատասխան մուտքի դեպքի բացակայությամբ մատնանշում են մուտքի ծառայությունը, և VPN-ի պրոֆիլի փոխարինումը չի շտկի կապ, որը շարունակաբար վերսկսում է բանակցությունները։ Մեկ զույգ գրառում նույն րոպեում լուծում է հարցը այդ դեպքի համար և հաջորդին տալիս է ելակետ։