WAN IP өзгерді және туннель үзілді: тексерулер ретімен

Туннель үзіледі, маршрутизатор қайта қосылуды тіркейді, ал жергілікті желіде ештеңе қозғалмаған. Жаңа WAN мекенжайы ішкі жағынан ештеңе өзгертпей сыртқы байланысты жарамсыз етеді: клиенттің бастапқы мекенжайы өзгерді, ескі NAT күйі енді жоқ көзге нұсқайды, ал алыс теңдес әлі де алдыңғы мекенжайға жіберіп жатқан болуы мүмкін. Қалпына келу қалыпты мінез-құлық, ал пайдалы сұрақ — қай күй жаңартылмай қалды.

Журналды оқымас бұрын оқиғаға ат қойыңыз

Қолжетімділік деңгейінде шын мәнінде не болғанын тексеріңіз. Провайдердің жалдау шартын жаңарту — бір оқиға. Қайта қосылған PPPoE сессиясы — басқа оқиға. Қайта жүктелген талшықты модем немесе бір арнадан екіншісіне WAN ауысуы сыртқы мекенжайды немесе оның жолын үшінші тәсілмен өзгертеді. Бұлар бір оқиға емес және бірдей қалдық қалдырмайды.

VPN журналындағы қайта қосылу жолы да WAN өзгерісінің дәлелі емес. Бос тұру таймауты, қайта аутентификация аралығы және өлі теңдесті анықтау — барлығы мекенжай өзгерісінсіз қайта қосылулар тудырады. Бірдеңе шешпес бұрын қолжетімділік журналының уақыт белгілерін VPN журналымен салыстырыңыз және салыстыру терезесін түнде болған өзгерісті ұстай алатындай кең ұстаңыз.

Роуминг пен қайта қосылу — әртүрлі протоколдар

WireGuard-те аутентификацияланған роуминг протоколға кіріктірілген: теңдес жаңа бастапқы мекенжайдан дұрыс аутентификацияланған пакет алғанда, ол сол теңдестің соңғы нүктесін жаңартады. WireGuard жылдам бастауы мұны мүмкін ететін теңдес конфигурациясын сипаттайды, сондықтан өзгермелі мекенжайдағы клиент көбіне көрінетін қайта жүктеусіз қалпына келеді.

OpenVPN әдепкі бойынша басқаша әрекет етеді. UDP сессиясы аяқталып, қайта қосылуы мүмкін, ал қосымша float мінез-құлқы аутентификацияланған теңдеске конфигурация рұқсат еткен жерде жаңа мекенжайдан жалғастыруға мүмкіндік береді. TCP негізіндегі туннельдер қатаңырақ, өйткені қосылыстың өзі мекенжайлар жұбына байланған. Дәл осы айырмашылық қалпына келу көрінбейтін бола ма, әлде әр жолы журналда өзін жариялай ма, соны шешеді.

Екі мінез-құлықтың ешқайсысы іштегі қолданбалар туралы ештеңе айтпайды. Қалпына келген туннель теңдес әлдеқашан өлі деп санаған TCP сессиясын қалпына келтірмейді.

Туннель иемденбейтін күй

Аударма мен маршруттау күйі адамды таңқалдыратын тәсілдермен қайта қосылудан аман қалады. Ескі көз үшін жасалған conntrack жазбасы жауап жолын енді жоқ мекенжайға бекітіп ұстайды және ол туннель қайтып келгенде емес, өз кестесі бойынша аяқталады. Туннель қызметін қайта іске қосу бұл күтуді қысқартпайды, сондықтан жөнделген байланыс біраз уақыт әлі де сынған болып көрінуі мүмкін.

Маршруттар мен саясат ережелері ескі шлюзге немесе интерфейске сілтеуі мүмкін. WAN ауысуына дейін дұрыс болған ережелер жиынтығы қазір өшірулі құрылғыға нұсқауы мүмкін, бұл қосылғанын хабарлайтын туннель мен еш жерге бармайтын трафикті тудырады. Өзіңіз хостинг жасайтын сервер үшін динамикалық DNS — жаңа көз алатын клиенттен бөлек мәселе. Жазбаны жаңарту керек, сонда алыс клиенттер сізді табады, және клиент жағындағы ешбір конфигурация жоғары деңгейдегі аударма өткізбейтін мекенжайды өтемейді.

Тексерулерді сырттан ішке қарай реттеңіз

Төмендегі рет сыртқы қосылыстан ішке қарай жүреді және бірінші сәтсіз қадамда тоқтау оны пайдалы етеді: әрбір тексеру өзінің үстіндегі қабатты жоққа шығарады. Ақау айқын көрінсе де осы ретті сақтаңыз.

wg show
ip -br addr show
ip route get 198.51.100.7
conntrack -L 2>/dev/null | grep -c ESTABLISHED
journalctl -u openvpn-client@home --since '-2 hours' | tail -n 40

Бірінші команда әр теңдестің ағымдағы соңғы нүктесі мен қол алысу жасын көрсетеді. Екінші және үшінші сыртқы интерфейс пен соңғы нүктеге дейінгі маршруттың әлі мағыналы екенін көрсетеді. conntrack саны алдыңғы мекенжайдан қалған күйдің дөрекі тексерісі, ал журнал — қайта қосылу себебі жазылатын орын.

Содан кейін маршрутизатордан емес, LAN клиентінен тексеріңіз. Маршрутизатордың өзі жіберген ping жіберілетін трафиктен өзге жолды пайдаланады, сондықтан маршрутизатордан сәтті ping туннельдің бар екенін дәлелдейді және клиенттің қолжетімділігі туралы ештеңе айтпайды.

Күтілетін мінез-құлықты анықтап, оны жазып қойыңыз

Қайта қосылу көптеген орналастырулар үшін дұрыс мінез-құлық, сондықтан мақсат оны болдырмау емес. Оның орнына үзіліс кезінде трафикпен не болу керектігін шешіңіз: тоқтату, ұстап тұру немесе басқа жолға ауысу. Бұл шешім брандмауэр мен маршруттау саясатына жатады, VPN профиліне емес.

Қолжетімділік оқиғалары мен қайта қосылу уақыттарын бір апта бойы бірге жазып отырыңыз. Сәйкес қолжетімділік оқиғасыз қайталанатын өзгерістер қолжетімділік қызметіне нұсқайды, ал VPN профилін ауыстыру үнемі қайта келіссөз жүргізетін арнаны түзетпейді. Сол минуттағы бір жұп жазба сол оқиға үшін сұрақты шешеді және келесісіне бастапқы сызық береді.