WAN-IP huet sech geännert an den Tunnel ass agebrach: d'Kontrollen an der Rei

Notéiert de WAN-Evenement an da kuckt wat net gefollegt huet: al Iwwersetzungs-Andräg, Route mat der alter Gateway verbonnen, Peeren déi nach op déi al Adress schécken.

Den Tunnel fällt aus, de Router loggt eng Rewverbindung, an um LAN huet sech näischt beweegt. Eng nei WAN-Adress mécht déi baussecht Verbindung ongülteg, ouni bannen eppes ze änneren: dem Client seng Quelladress huet sech geännert, den ale NAT-Zoustand weist op eng Quell déi et net méi gëtt, an de wäite Peer schéckt vläicht nach op déi viregt Adress. D'Erhuelung ass normal Verhalen, an déi nëtzlech Fro ass wéi en Zoustand net aktualiséiert gouf.

Nennt den Evenement éiert Dir de Log liest

Kuckt wat tatsächlech op der Access-Schicht geschitt ass. Eng Erneierung vum ISP-Lease ass en Evenement. Eng PPPoE-Sessioun déi sech nei verbonnen huet ass en anert. E Glasfasermodem dee nei gestart gouf, oder en WAN-Failover vun engem Uplink op en aneren, ännert déi baussecht Adress oder hire Wee op eng drëtt Manéier. Si sinn net deen selwechten Evenement a si hannerloossen net dee selwechte Rescht.

Eng Rewverbindungs-Zeil am VPN-Log ass och net de Beweis vun enger WAN-Ännerung. En Idle-Timeout, en Reauthentifikatiouns-Intervall an d'Erkennung vun engem doudege Peer produzéieren all Rewverbindungen ouni all Adressännerung. Vergläicht d'Zäitstempel vum Access-Log mam VPN-Log éiert Dir eppes schlussfolgert, a haalt d'Vergläichsfenster breet genuch fir eng Ännerung ze fänken déi an der Nuecht geschitt ass.

Roaming a Rewverbindung si verschidde Protokoller

WireGuard huet authentifizéierte Roaming am Protokoll agebaut: wann e Peer e korrekt authentifizéierte Paket vun enger neier Quelladress kritt, aktualiséiert hien den Endpunkt vun deem Peer. De WireGuard Schnellstart beschreift d'Peer-Konfiguratioun déi dat méiglech mécht, dofir erhëlt sech e Client op enger ännerbarer Adress dacks ouni en sichtbaren Neistart.

OpenVPN verhält sech standardméisseg anescht. Eng UDP-Sessioun kann ophalen a sech nei verbinden, an dat optionalt Float-Verhalen erlaabt engem authentifizéierte Peer vu enger neier Adress weiderzefueren wou d'Konfiguratioun et erlaabt. TCP-baséiert Tunnelen si méi strikt, well d'Verbindung selwer un d'Adresspaar gebonnen ass. Dee Ënnerscheed entscheet ob d'Erhuelung onsichtbar ausgesäit oder sech all Kéier am Log mellt.

Keen vun deenen zwee Verhalen seet eppes iwwer d'Applikatiounen dobannen. En erhuelte Tunnel restauréiert keng TCP-Sessioun déi de Peer schonn als dout ugesinn huet.

Zoustand deen den Tunnel net huet

Den Iwwersetzungs- an de Routing-Zoustand iwwerlieft d'Rewverbindung op Manéieren déi d'Leit iwwerrascht. En conntrack-Andrag deen fir déi al Quell ugeluecht gouf hält de Äntwertwee un en Adress fixéiert déi et net méi gëtt, an en leeft no sengem eegene Plang of, net wéi den Tunnel zeréckkoum. Den Tunnel-Service nei starten verkierzt déi Waardezäit net, dofir kann eng gefléckte Verbindung nach eng Zäitchen futti ausgesinn.

Route a Richtlinieregelen kënnen op déi al Gateway oder Interface referenzéieren. E Regelset dat virun engem WAN-Wiessel richteg war kann op en Apparat weisen deen elo erof ass, wat en Tunnel ergëtt deen sech als verbonne mellt an Trafik deen nirgendswou higeet. Dynameschen DNS fir e Server deen Dir host ass eng separat Problematik vun engem Client deen eng nei Quell kritt. Den Andrag muss aktualiséiert ginn dofir datt wäit Clienten Iech fannen, an keng Konfiguratioun um Client-Säit kompenséiert eng Adress déi d'Iwwersetzung uewendriwwer net weiderleet.

Ordnet d'Kontrollen vun baussen no bannen

D'Rei hei drënner geet vun der baussechter Verbindung no bannen, an beim éischte Schrëtt deen feelt stoppen ass dat wat se nëtzlech mécht: all Duerchgang schléisst d'Schicht driwwer aus. Haalt déi Rei och wann de Feeler offensichtlech ausgesäit.

wg show
ip -br addr show
ip route get 198.51.100.7
conntrack -L 2>/dev/null | grep -c ESTABLISHED
journalctl -u openvpn-client@home --since '-2 hours' | tail -n 40

Déi éischt Kommando weist den aktuelle Endpunkt an den Alter vum Handshake fir all Peer. Déi zweet an déi drëtt weisen ob déi baussecht Interface an de Wee zum Endpunkt nach Sënn ginn. D'conntrack-Zuel ass eng graff Kontroll fir den Zoustand deen vun der viregter Adress iwwreg blouf, an de Journal ass d'Plaz wou de Grond vun der Rewverbindung festgehale gëtt.

Dann test vun engem LAN-Client amplaz vum Router. E Ping deen de Router selwer schéckt benotzt en anere Wee wéi weidergeleet Trafik, dofir beweiseet e erfollegräiche Router-Ping datt den Tunnel existéiert an näischt iwwer d'Erreechbarkeet vum Client.

Bestëmmt dat erwaart Verhalen a schreift et op

Sech nei verbinden ass richtegt Verhalen fir déi meescht Deployementer, dofir ass d'Zil et net ze verhënneren. Bestëmmt amplaz wat während der Lück mam Trafik geschéie soll: en ophalen, en halen oder op en anere Wee auswäichen. Déi Entscheedung gehéiert an d'Firewall an d'Routing-Richtlinn, net an de VPN-Profil.

Notéiert d'Access-Evenementer an d'Rewverbindungszäiten eng Woch laang zesummen. Widderholl Ännerungen ouni passenden Access-Evenement weisen op den Access-Service hin, an de VPN-Profil auszetauschen reparéiert keen Uplink dee stänneg nei verhandelt. Een eenzegt Paar Andräg an der selwechter Minutt entscheet d'Fro fir deen Tëschefall an gëtt dem nächsten eng Basislinn.

Ähnlech Artikelen