WAN-ის IP შეიცვალა და გვირაბი ჩავარდა: შემოწმებები თანმიმდევრობით

გვირაბი ჩავარდება, როუტერი ხელახალ დაკავშირებას აღრიცხავს და LAN-ზე არაფერი მოძრაობს. ახალი WAN მისამართი გარე კავშირს ბათილად აქცევს შიგნით არაფრის შეცვლის გარეშე: კლიენტის წყაროს მისამართი შეიცვალა, ძველი NAT მდგომარეობა მიუთითებს წყაროზე, რომელიც აღარ არსებობს, და დისტანციური პირი შეიძლება ჯერ კიდევ წინა მისამართზე აგზავნიდეს. აღდგენა ნორმალური ქცევაა და სასარგებლო კითხვაა, რომელი მდგომარეობა არ განახლდა.

დაასახელეთ მოვლენა ჟურნალის წაკითხვამდე

შეამოწმეთ, რა მოხდა სინამდვილეში წვდომის დონეზე. ISP-ის იჯარის განახლება ერთი მოვლენაა. ხელახლა დაკავშირებული PPPoE სესია სხვა მოვლენაა. გადატვირთული ოპტიკური მოდემი, ან WAN-ის გადართვა ერთი არხიდან მეორეზე, გარე მისამართს ან მის მარშრუტს მესამე გზით ცვლის. ეს ერთი და იგივე მოვლენა არ არის და ერთსა და იმავე ნარჩენს არ ტოვებს.

ხელახალი დაკავშირების ხაზი VPN-ის ჟურნალში ასევე არ არის WAN-ის ცვლილების მტკიცებულება. უმოქმედობის ვადა, ხელახალი ავთენტიფიკაციის ინტერვალი და მკვდარი პირის ამოცნობა ყველა ქმნის ხელახალ დაკავშირებას მისამართის ცვლილების გარეშე. სანამ რაიმე დასკვნას გააკეთებთ, შეადარეთ წვდომის ჟურნალის დროის ნიშნები VPN-ის ჟურნალს და შედარების ფანჯარა საკმარისად ფართო შეინახეთ, რომ ღამით მომხდარი ცვლილებაც დაიჭიროს.

როუმინგი და ხელახალი დაკავშირება სხვადასხვა პროტოკოლია

WireGuard-ს ავთენტიფიცირებული როუმინგი პროტოკოლშია ჩაშენებული: როდესაც პირი ახალი წყაროს მისამართიდან სწორად ავთენტიფიცირებულ პაკეტს იღებს, ის ამ პირის ბოლო წერტილს აახლებს. WireGuard-ის სწრაფი დასაწყისი აღწერს პირის კონფიგურაციას, რომელიც ამას შესაძლებელს ხდის, ამიტომ ცვალებად მისამართზე მყოფი კლიენტი ხშირად თვალსაჩინო გადატვირთვის გარეშე აღდგება.

OpenVPN ნაგულისხმევად სხვაგვარად იქცევა. UDP სესია შეიძლება დასრულდეს და ხელახლა დაუკავშირდეს, ხოლო არასავალდებულო float ქცევა ავთენტიფიცირებულ პირს საშუალებას აძლევს ახალი მისამართიდან გააგრძელოს იქ, სადაც კონფიგურაცია ნებას რთავს. TCP-ზე დაფუძნებული გვირაბები უფრო მკაცრია, რადგან თავად კავშირი მისამართების წყვილზეა მიბმული. სწორედ ეს განსხვავება წყვეტს, აღდგენა უხილავად გამოჩნდება თუ ყოველ ჯერზე ჟურნალში გამოცხადდება.

არც ერთი ქცევა არაფერს ამბობს შიგნით არსებულ აპლიკაციებზე. აღდგენილი გვირაბი არ აღადგენს TCP სესიას, რომელიც პირმა უკვე მკვდრად ჩათვალა.

მდგომარეობა, რომელსაც გვირაბი არ ფლობს

თარგმანისა და მარშრუტიზაციის მდგომარეობა ხელახალ დაკავშირებას გადაურჩება ისე, რაც ხალხს აკვირვებს. ძველი წყაროსთვის შექმნილი conntrack ჩანაწერი პასუხის გზას ამაგრებს მისამართზე, რომელიც აღარ არსებობს, და ის იწურება საკუთარი გრაფიკით და არა მაშინ, როცა გვირაბი დაბრუნდა. გვირაბის სერვისის გადატვირთვა ამ ლოდინს არ ამოკლებს, ამიტომ შეკეთებული ბმული შეიძლება ცოტა ხანს ჯერ კიდევ გატეხილად გამოიყურებოდეს.

მარშრუტებსა და პოლიტიკის წესებს შეუძლიათ ძველ კარიბჭეზე ან ინტერფეისზე მიუთითონ. წესების ნაკრები, რომელიც WAN-ის შეცვლამდე სწორი იყო, შეიძლება ახლა გამორთულ მოწყობილობაზე მიუთითებდეს, რაც ქმნის გვირაბს, რომელიც დაკავშირებულად იუწყება, და ტრაფიკს, რომელიც არსად მიდის. თქვენ მიერ ჰოსტირებული სერვერის დინამიური DNS ცალკე პრობლემაა ახალი წყაროს მიმღები კლიენტისგან. ჩანაწერი უნდა განახლდეს, რომ დისტანციურმა კლიენტებმა იპოვონ თქვენ, და არც ერთი კლიენტის მხარის კონფიგურაცია არ ანაზღაურებს მისამართს, რომელსაც ზედა დონის თარგმანი არ გადასცემს.

დაალაგეთ შემოწმებები გარედან შიგნით

ქვემოთ მოცემული თანმიმდევრობა გარე კავშირიდან შიგნით მიდის, და პირველ წარუმატებელ საფეხურზე გაჩერება ხდის მას სასარგებლოს: ყოველი გავლა გამორიცხავს მის ზემოთ არსებულ ფენას. შეინარჩუნეთ ეს თანმიმდევრობა მაშინაც, როცა ხარვეზი აშკარად გამოიყურება.

wg show
ip -br addr show
ip route get 198.51.100.7
conntrack -L 2>/dev/null | grep -c ESTABLISHED
journalctl -u openvpn-client@home --since '-2 hours' | tail -n 40

პირველი ბრძანება აჩვენებს მიმდინარე ბოლო წერტილს და ხელის ჩამორთმევის ასაკს თითოეული პირისთვის. მეორე და მესამე აჩვენებს, გარე ინტერფეისი და ბოლო წერტილამდე მარშრუტი ჯერ კიდევ აზრიანია თუ არა. conntrack-ის რაოდენობა უხეში შემოწმებაა წინა მისამართიდან დარჩენილი მდგომარეობისთვის, და ჟურნალი არის ადგილი, სადაც ხელახალი დაკავშირების მიზეზი იწერება.

შემდეგ შეამოწმეთ LAN-ის კლიენტიდან და არა როუტერიდან. ping რომელიც თავად როუტერმა გაგზავნა იყენებს გადაცემული ტრაფიკისგან განსხვავებულ გზას, ამიტომ წარმატებული ping როუტერიდან ამტკიცებს გვირაბის არსებობას და არაფერს კლიენტის ხელმისაწვდომობაზე.

განსაზღვრეთ მოსალოდნელი ქცევა და ჩაწერეთ

ხელახალი დაკავშირება სწორი ქცევაა უმეტეს განლაგებისთვის, ამიტომ მიზანი მისი აღკვეთა არ არის. სამაგიეროდ გადაწყვიტეთ, რა უნდა მოხდეს ტრაფიკთან შუალედის დროს: შეჩერდეს, შენარჩუნდეს თუ სხვა გზაზე გადაერთოს. ეს გადაწყვეტილება ეკუთვნის ფაირვოლს და მარშრუტიზაციის პოლიტიკას და არა VPN-ის პროფილს.

ჩაწერეთ წვდომის მოვლენები და ხელახალი დაკავშირების დროები ერთად ერთი კვირის განმავლობაში. განმეორებადი ცვლილებები შესაბამისი წვდომის მოვლენის გარეშე მიუთითებს წვდომის სერვისზე, და VPN-ის პროფილის შეცვლა არ გამოასწორებს არხს, რომელიც მუდმივად ხელახლა მოლაპარაკობს. ერთი წყვილი ჩანაწერი იმავე წუთში წყვეტს კითხვას ამ შემთხვევისთვის და შემდეგს საწყის ხაზს აძლევს.