WAN-IP breyttist og tunnillinn féll: athuganirnar í röð

Tunnillinn fellur, beinirinn skráir endurtengingu og ekkert á staðarnetinu hefur hreyfst. Nýtt WAN-vistfang ógildir ytri tenginguna án þess að breyta nokkru inni: heimildarvistfang biðlarans hefur breyst, gamla NAT-ástandið bendir á heimild sem er ekki lengur til og fjarlægi jafninginn gæti enn verið að senda á fyrra vistfangið. Endurheimt er eðlileg hegðun og spurningin sem nýtist er hvaða ástand var ekki uppfært.

Nefndu atburðinn áður en þú lest annálin

Athugaðu hvað gerðist í raun á aðgangslaginu. Endurnýjun á leigusamningi þjónustuveitandans er einn atburður. PPPoE-lota sem tengdist aftur er annar. Mótald úr trefjum sem endurræst var, eða WAN-failover frá einni upptengingunni á aðra, breytir ytri vistfanginu eða leið þess á þriðja hátt. Þetta eru ekki sami atburðurinn og þau skilja ekki sömu leifar eftir.

Endurtengingarlína í VPN-annálinu er heldur ekki sönnun fyrir WAN-breytingu. Aðgerðaleysi tímamörk, endurvottunarbil og greining dauðs jafnings framleiða öll endurtengingar án nokkurrar vistfangsbreytingar. Berðu saman tímasetningar úr aðgangsannálinu við VPN-annálið áður en þú ályktar nokkuð og hafðu samanburðargluggann nógu breiðan til að grípa breytingu sem varð á nóttunni.

Reik og endurtenging eru mismunandi samskiptareglur

WireGuard hefur sannreynda reik innbyggða í samskiptareglurnar: þegar jafningi tekur á móti rétt sannreyndri pakkningu frá nýju heimildarvistfangi uppfærir hann endapunkt þess jafnings. Skjóta leiðsögn WireGuard lýsir jafningjauppsetningunni sem gerir þetta mögulegt, og þess vegna nær biðlarinn á breytilegu vistfangi sér oft á strik aftur án sýnilegrar endurræsingar.

OpenVPN hagar sér öðruvísi sjálfgefið. UDP-lotu getur lokið og tengst aftur, og valfrjáls float-hegðun leyfir sannreyndum jafningi að halda áfram frá nýju vistfangi þar sem uppsetningin leyfir það. TCP-tunnlar eru strangari, því tengingin sjálf er bundin við vistfangaparið. Sá munur ræður því hvort endurheimtin virðist ósýnileg eða tilkynnir sig í annálinu í hvert sinn.

Önnur hvor hegðunin segir ekkert um forritin inni. Endurheimtur tunnill endurheimtir ekki TCP-lotu sem jafninginn taldi nú þegar dauða.

Ástand sem tunnillinn á ekki

Þýðingar- og leiðarstýringarástand lifir endurtenginguna á vegu sem kemur fólki á óvart. conntrack-færsla sem búin var til fyrir gömlu heimildina heldur svarleiðinni festri við vistfang sem er ekki lengur til, og hún rennur út samkvæmt eigin áætlun, ekki þegar tunnillinn kom aftur. Endurræsing á tunnilþjónustunni styttir ekki þá bið, svo viðgerð tenging getur enn litið brotin út um stund.

Leiðir og stefnureglur geta vísað í gömlu gáttina eða viðmótið. Reglusafn sem var rétt fyrir WAN-skipti getur bent á tæki sem er nú niðri, sem framleiðir tunnil sem tilkynnir sig tengdan og umferð sem fer hvergi. Kvikt DNS fyrir netþjón sem þú hýsir er sérstakt vandamál frá biðlara sem fær nýja heimild. Færsluna þarf að uppfæra svo fjarlægir biðlarar finni þig, og engin uppsetning á biðlarahlið bætir upp vistfang sem þýðingin ofar verður ekki send áfram.

Raðaðu athugununum að utan inn

Röðin hér að neðan gengur frá ytri tengingunni inn á við, og það að stöðva við fyrsta skrefið sem bregst er það sem gerir hana gagnlega: hver hringur útilokar lagið fyrir ofan. Hafðu þessa röð jafnvel þegar bilunin virðist augljós.

wg show
ip -br addr show
ip route get 198.51.100.7
conntrack -L 2>/dev/null | grep -c ESTABLISHED
journalctl -u openvpn-client@home --since '-2 hours' | tail -n 40

Fyrsta skipunin sýnir núverandi endapunkt og aldur handtaksins fyrir hvern jafningja. Önnur og þriðja sýna hvort ytra viðmótið og leiðin að endapunktinum hafi enn merkingu. conntrack-talningin er gróf athugun á ástandi sem er eftir frá fyrra vistfangi, og annálið er staðurinn þar sem ástæða endurtengingarinnar er skráð.

Prófaðu síðan frá biðlara á staðarnetinu frekar en frá beininum. Ping sem beinirinn sjálfur sendir notar aðra leið en framsend umferð, svo árangursríkt ping frá beininum sannar að tunnillinn sé til og ekkert um aðgengi biðlarans.

Ákveddu vænta hegðun og skrifaðu hana niður

Endurtenging er rétt hegðun fyrir flestar uppsetningar, svo markmiðið er ekki að koma í veg fyrir hana. Ákveddu þess í stað hvað eigi að gerast með umferðina meðan á bilinu stendur: stöðva hana, halda henni eða skipta yfir á aðra leið. Þessi ákvörðun tilheyrir eldveggnum og leiðarstefnunni, ekki VPN-sniðinu.

Skráðu aðgangsatburði og endurtengingartíma saman í eina viku. Endurteknar breytingar án samsvarandi aðgangsatburðar benda til aðgangsþjónustunnar, og að skipta um VPN-snið lagar ekki upptengingu sem semur sífellt aftur. Eitt par færslna á sömu mínútu leysir spurninguna fyrir þann atburð og gefur þeim næsta grunnlínu.