IP publik berubah dan VPN berhenti meneruskan lalu lintas

Penyambungan ulang oleh penyedia atau perubahan penerjemahan di sisi hulu mengubah sumber publik sebuah sesi VPN, sementara alamat privat lokal klien biasanya tetap persis seperti semula. Terowongan lalu tampak terhubung padahal tidak ada yang berguna melintasinya. Kedua pengamatan itu benar pada saat yang sama, dan itulah yang membuat laporan ini membingungkan.

Jalankan keempat pemeriksaan secara berurutan dan berhentilah pada yang pertama gagal.

Alamat mana yang sebenarnya berubah

Bandingkan keadaan antarmuka lokal dengan sumber yang diamati titik akhir jauh, pada titik di mana Anda berwenang untuk melihat. Alamat publik baru tidak berarti gateway lokal baru, dan perubahan antarmuka lokal juga tidak menjamin sumber publik berpindah. Penerjemahan di antaranya berarti keduanya fakta yang independen. Catat jalur persisnya dan waktu Anda mengamatinya, karena label geolokasi yang disalin dari laporan lama menjawab pertanyaan yang berbeda.

Tanyakan secara spesifik apakah sumber luar berubah, alamat dalam terowongan berubah, atau keduanya. Hanya yang pertama menjelaskan rekan yang terus mengirim ke jalur yang tidak lagi ada.

Biarkan protokol menangani perpindahan

Protokol berbeda dalam cara mereka mengetahui bahwa rekan telah berpindah, dan perbedaan itu penting untuk menentukan apakah Anda perlu campur tangan. WireGuard memperbarui titik akhir rekan ketika menerima paket yang terautentikasi dengan kunci rekan tersebut, sehingga perubahan alamat dapat diserap tanpa konfigurasi apa pun. IKEv2 memiliki MOBIKE untuk tujuan yang sama bila kedua ujung mendukungnya. Rancangan yang lebih lama pulih dengan membangun ulang terowongan.

Yang tidak boleh Anda lakukan adalah menerima pesan tanpa autentikasi sebagai bukti bahwa identitas rekan telah berpindah. Memalsukan datagram yang mengklaim alamat baru itu sepele, dan klien yang percaya bahwa ia dapat diarahkan ke titik akhir penyerang. Protokol terautentikasi adalah mekanismenya; pemberitahuan bukan.

wg show wg0 endpoints
wg show wg0 latest-handshakes
conntrack -L -p udp --dport 51820 | head -n 10

Bersihkan pengikatan luar yang usang

Ketika protokol mendukung roaming dan lalu lintas tetap gagal, penghalangnya sering kali peralatan yang menyimpan status di tengah atau kebijakan di ujung jauh. Firewall yang melacak aliran lama mungkin menyimpan entri usang, dan aturan akses di sisi server yang terikat pada sumber lama akan menjatuhkan yang baru secara diam-diam. Membersihkan pemetaan dan memeriksa ulang aturan lebih cepat daripada mengganti kredensial.

Pertahankan pemblokiran yang diperlukan selama penyelidikan. Membuka kebijakan lebar-lebar untuk menguji apakah terowongan pulih tidak mengajari Anda apa pun tentang penyebabnya dan meninggalkan penerapan lebih buruk daripada saat Anda menemukannya.

Uji ulang dengan permintaan baru

Sesi aplikasi yang dibangun sebelum perubahan tidak bertahan, karena empat-tupel yang menjadi dasarnya tidak lagi ada. Hasilkan permintaan baru setelah pemulihan dan pastikan permintaan itu selesai, alih-alih menonton unduhan lama berhenti di nol dan menyimpulkan terowongan masih rusak. Perbedaan tunggal itu menyelesaikan sebagian besar laporan semacam ini.

Lalu catat kedua bagian diagnosis: apa yang berubah di sisi hulu, dan langkah pemulihan yang didukung mana yang memulihkan aliran. Kejadian berikutnya akan lebih cepat, dan catatan itulah yang membuatnya lebih cepat.

Jika permintaan baru berhasil dan yang lama tidak pernah berlanjut, terowongan sudah diperbaiki dan aplikasi hanya perlu menyambung ulang.