WAN の IP が変わりトンネルが切れた：順番に確認する

トンネルが切れ、ルーターは再接続を記録し、LAN 側では何も動いていません。新しい WAN アドレスは、内側を何も変えずに外側の接続を無効にしますが、クライアントの送信元アドレスが変わり、古い NAT の状態はもう存在しない送信元を指し、遠端のピアは以前のアドレスへ送り続けている可能性があります。復旧は正常な動作であり、有用な問いはどの状態が更新されなかったかです。

ログを読む前に出来事を名付ける

アクセス層で実際に何が起きたかを確認します。ISP のリース更新は一つの出来事です。再接続した PPPoE セッションは別の出来事です。再起動した光回線モデム、あるいは一方の上流回線から他方への WAN フェイルオーバーは、外側のアドレスやその経路を第三の形で変えます。これらは同じ出来事ではなく、同じ残留物も残しません。

VPN ログの再接続行も WAN 変更の証拠ではありません。アイドルタイムアウト、再認証の間隔、デッドピア検出はいずれもアドレス変更なしに再接続を生みます。何かを結論づける前にアクセスログのタイムスタンプを VPN ログと比べ、比較の窓は夜間に起きた変更を捉えられるだけ広く取ってください。

ローミングと再接続は別のプロトコル

WireGuard は認証済みローミングをプロトコルに内蔵しており、ピアが新しい送信元アドレスから正しく認証されたパケットを受け取ると、そのピアのエンドポイントを更新します。WireGuard のクイックスタートはそれを可能にするピア設定を説明しており、そのため変化するアドレス上のクライアントは目に見える再起動なしに復旧することがよくあります。

OpenVPN は既定で異なる振る舞いをします。UDP セッションは終了して再接続でき、任意の float 動作は、設定が許す場所で認証済みのピアが新しいアドレスから続行することを可能にします。TCP ベースのトンネルはより厳格で、接続そのものがアドレスの組に縛られます。その違いが、復旧が見えないように見えるか、毎回ログで名乗るかを決めます。

どちらの振る舞いも内側のアプリケーションについては何も語りません。復旧したトンネルは、ピアがすでに死んだと見なした TCP セッションを復元しません。

トンネルが所有しない状態

変換とルーティングの状態は、人を驚かせる形で再接続を生き延びます。古い送信元に対して作られた conntrack エントリは、応答経路をもう存在しないアドレスに固定し、トンネルが戻ったときではなく独自のスケジュールで失効します。トンネルサービスを再起動してもその待ち時間は短くならないため、修復されたリンクはしばらく壊れて見えることがあります。

ルートとポリシールールは古いゲートウェイやインターフェースを参照できます。WAN 切り替えの前に正しかったルール群が、いま停止している機器を指していることがあり、接続済みと報告するトンネルとどこにも行かないトラフィックを生みます。ホストするサーバーの動的 DNS は、新しい送信元を得るクライアントとは別の問題です。レコードを更新しないと遠隔のクライアントはあなたを見つけられず、上流の変換が転送しないアドレスをクライアント側の設定で補うことはできません。

外側から内側へ確認を並べる

以下の順序は外側の接続から内側へ進み、最初に失敗した段階で止めることが有用さの源であり、各確認はその上の層を除外します。障害が明らかに見えてもこの順序を守ってください。

wg show
ip -br addr show
ip route get 198.51.100.7
conntrack -L 2>/dev/null | grep -c ESTABLISHED
journalctl -u openvpn-client@home --since '-2 hours' | tail -n 40

最初のコマンドは各ピアの現在のエンドポイントとハンドシェイクの経過時間を示します。二番目と三番目は、外側のインターフェースとエンドポイントへの経路がまだ意味を成すかを示します。conntrack の数は前のアドレスから残った状態の粗い確認であり、ジャーナルは再接続の理由が記録される場所です。

次にルーターからではなく LAN のクライアントから試します。ルーター自身が送信した ping は転送トラフィックとは別の経路を使うため、ルーターからの ping が成功してもトンネルの存在を示すだけで、クライアントの到達性については何も示しません。

期待する振る舞いを決めて書き留める

ほとんどの配備では再接続が正しい振る舞いなので、目的はそれを防ぐことではありません。代わりに、切れている間のトラフィックを止める、保持する、別経路へ切り替えるのいずれにするかを決めます。その判断はファイアウォールとルーティングポリシーに属し、VPN プロファイルには属しません。

アクセスイベントと再接続の時刻を一週間、一緒に記録します。対応するアクセスイベントのない変化の繰り返しはアクセスサービスを指し、VPN プロファイルを置き換えても再交渉を続ける上流回線は直りません。同じ分の中の一対の記録が、その障害についての問いを決着させ、次への基準線を与えます。