WAN IP өзгөрдү жана туннель үзүлдү: текшерүүлөр тартиби менен

Туннель үзүлөт, маршрутизатор кайра туташууну жазат, ал эми жергиликтүү тармакта эч нерсе кыймылдаган жок. Жаңы WAN дареги ички бөлүгүндө эч нерсени өзгөртпөстөн сырткы байланышты жараксыз кылат: кардардын баштапкы дареги өзгөрдү, эски NAT абалы эми жок булакка көрсөтөт, жана алыскы теңдеш дагы эле мурунку дарекке жиберип жаткан болушу мүмкүн. Калыбына келүү кадимки жүрүм-турум, ал эми пайдалуу суроо — кайсы абал жаңыртылбай калды.

Журналды окуудан мурун окуяга ат коюңуз

Кирүү катмарында чындыгында эмне болгонун текшериңиз. Провайдердин ижара келишимин жаңыртуу — бир окуя. Кайра туташкан PPPoE сессиясы — башка окуя. Кайра жүктөлгөн була модеми же бир каналдан экинчисине WAN которулушу сырткы даректи же анын жолун үчүнчү ыкма менен өзгөртөт. Булар бир окуя эмес жана бирдей калдык калтырышпайт.

VPN журналындагы кайра туташуу сабы да WAN өзгөрүшүнүн далили эмес. Бош туруу таймауту, кайра аутентификация интервалы жана өлүк теңдешти аныктоо — баары дарек өзгөрүүсүз кайра туташууларды жаратат. Бир нерсе жыйынтыктоодон мурун кирүү журналынын убакыт белгилерин VPN журналы менен салыштырыңыз жана салыштыруу терезесин түндө болгон өзгөрүүнү кармоо үчүн жетиштүү кең кармаңыз.

Роуминг жана кайра туташуу — ар башка протоколдор

WireGuard протоколго аутентификацияланган роумингди камтыган: теңдеш жаңы булак дарегинен туура аутентификацияланган пакетти алганда, ал ошол теңдештин акыркы чекитин жаңыртат. WireGuard тез башталышы муну мүмкүн кылган теңдеш конфигурациясын сүрөттөйт, ошондуктан өзгөрүлмө даректеги кардар көбүнчө көрүнүктүү кайра жүктөөсүз калыбына келет.

OpenVPN демейки боюнча башкача жүрөт. UDP сессиясы бүтүп, кайра туташы мүмкүн, ал эми милдеттүү эмес float жүрүм-туруму аутентификацияланган теңдешке конфигурация уруксат берген жерде жаңы даректен улантууга мүмкүндүк берет. TCP негизиндеги туннелдер катуураак, анткени туташуунун өзү даректер жупсуна байланган. Ушул айырма калыбына келүү көрүнбөй калаарын же ар жолу журналда өзүн жарыялаарын чечет.

Эки жүрүм-турумдун экөө тең ички колдонмолор жөнүндө эч нерсе айтпайт. Калыбына келген туннель теңдеш мурун эле өлүк деп эсептеген TCP сессиясын калыбына келтирбейт.

Туннель ээлик кылбаган абал

Котормо жана маршруттоо абалы адамдарды таң калтырган жолдор менен кайра туташуудан аман калат. Эски булак үчүн түзүлгөн conntrack жазуусу жооп жолун эми жок дарекке бекитип турат, жана ал туннель кайтып келгенде эмес, өзүнүн графиги боюнча бүтөт. Туннель кызматын кайра баштоо бул күтүүнү кыскартпайт, ошондуктан оңдолгон байланыш бир аз убакыт дагы эле сынгандай көрүнүшү мүмкүн.

Маршруттар жана саясат эрежелери эски шлюзга же интерфейске шилтеме кылышы мүмкүн. WAN которулушуна чейин туура болгон эрежелер топтому азыр өчүк түзмөккө көрсөтүшү мүмкүн, бул туташкандыгын билдирген туннель жана эч жакка барбаган трафикти жаратат. Өзүңүз хостинг кылган сервер үчүн динамикалык DNS жаңы булак алган кардардан өзүнчө маселе. Жазууну жаңыртуу керек, ошондо алыскы кардарлар сизди табат, жана кардар тарабындагы эч бир конфигурация жогорку деңгээлдеги котормо өткөрбөгөн даректин ордун толтура албайт.

Текшерүүлөрдү сырттан ичке карай иреттеңиз

Төмөнкү тартип сырткы туташуудан ичке карай жүрөт, жана биринчи ийгиликсиз кадамда токтоо аны пайдалуу кылат: ар бир текшерүү өзүнүн үстүндөгү катмарды жокко чыгарат. Жада калса бузулуу ачык көрүнгөндө да ушул тартипти сактаңыз.

wg show
ip -br addr show
ip route get 198.51.100.7
conntrack -L 2>/dev/null | grep -c ESTABLISHED
journalctl -u openvpn-client@home --since '-2 hours' | tail -n 40

Биринчи буйрук ар бир теңдеш үчүн учурдагы акыркы чекитти жана кол алышуунун жашын көрсөтөт. Экинчи жана үчүнчү сырткы интерфейс менен акыркы чекитке чейинки маршрут дагы деле маанилүүбү экенин көрсөтөт. conntrack саны мурунку даректен калган абалдын одоно текшерүүсү, ал эми журнал — кайра туташуу себеби жазылуучу жер.

Анан маршрутизатордон эмес, LAN кардарынан сынап көрүңүз. Маршрутизатор өзү жиберген ping өткөрүлгөн трафиктен башка жолду колдонот, ошондуктан маршрутизатордон ийгиликтүү ping туннелдин бар экенин далилдейт жана кардардын жеткиликтүүлүгү жөнүндө эч нерсе айтпайт.

Күтүлгөн жүрүм-турумду аныктап, аны жазып коюңуз

Кайра туташуу көпчүлүк жайгаштыруулар үчүн туура жүрүм-турум, ошондуктан максат аны болтурбоо эмес. Анын ордуна үзүлүү убагында трафик менен эмне болушу керектигин чечиңиз: токтотуу, кармап туруу же башка жолго өтүү. Бул чечим брандмауэр менен маршруттоо саясатына таандык, VPN профилине эмес.

Кирүү окуяларын жана кайра туташуу убакыттарын бир жума бою чогуу жазып туруңуз. Дал келген кирүү окуясыз кайталанган өзгөрүүлөр кирүү кызматына көрсөтөт, жана VPN профилин алмаштыруу дайыма кайра сүйлөшүү жүргүзгөн каналды оңдобойт. Ошол эле мүнөттөгү бир жуп жазуу ошол окуя үчүн суроону чечет жана кийинкисине баштапкы сызык берет.