Firwat deng VPN fält, wann d’Wi-Fi ännert oder Ethernet agepluggt gëtt
'Eng nei SSID, e Roaming tëschent Access-Pointen an en ageplugte Kabel briechen en Tunnel op dräi verschiddene Plazen. Kontrolléier d’Quelladress, duerno d’Route, duerno de Protokoll.'
Zwou Saachen ginn als een eenzegen Defekt gemellt: den Notebook ass op en anert Wi-Fi-Netz gewiesselt, oder e Kabel gouf agepluggt, wärend d’Wi-Fi weiderlaf. De Client seet nach ëmmer verbonnen, d’Icon gesäit gesond aus, an den Tunnel dréit näischt. Ënner der Uewerfläch kënnen nëmmen dräi Stéck Zoustand sech réckelen - d’Verbindung, d’lokal Adress, d’Standardroute - an déi, déi sech geréckelt huet, entscheet, ob den Tunnel sech vun selwer erhollt oder eng Neiverbindung brauch. Ech kontrolléieren se an där Reihenfolg, well d’Ännere vun de Kontastellungen nach ni eng dovun gefléckt huet.
Verbindung, Adress a Route réckele sech onofhängeg
Roaming tëschent Access-Pointen am selwechten Netz ass meeschtens en L2-Evenement. D’Radio assoziéiert sech nei, d’Interface behält seng Adress a säi Gateway, an näischt, vun deem den Tunnel ofhänkt, ännert sech, dofir geet e Spazéiergang duerch en groussen Büro heiansdo onbemierkt virun. Bei eng aner SSID bäizetrieden ass net dat: déi al Interface kann erofgoen, DHCP gëtt eng nei Adress, en neie Gateway an nei Resolveren, an de baussenzege Flux, deen den Tunnel benotzt huet, existéiert net méi.
Ethernet setzt eng drëtt Form derbäi. Wi-Fi fält ni, also gëtt iwwerhaapt keen Verbindungsevent ausgeléist, awer déi ugedriwwen Interface erschéngt mat senger eegener Adress a gewënnt dacks d’Standardroute iwwer d’Metrik. Den Tunnel leeft weider iwwer ee Wee, deen net méi bevorzugt gëtt, oder de Client hält säi Socket un dat drahtlost Netz festgehal, op deem en ugefaangen huet. Vum Browser aus gesinn béid gläich aus: d’Säite stocke genau an deem Moment, wou de Kabel aklickt.
Dofir ass déi éischt Fro net, ob d’Wi-Fi sech geännert huet. Si ass, ob d’Adress, un déi s du gebonnen bass, oder d’Route bis zum Endpunkt sech geännert huet, wärend den Tunnel op war.
De baussenzege Socket ass un eng Adress ugestach, déi just verschwonnen ass
All Tunnel ass e baussenzege Flux: eng lokal Adress a Port, déi mat der Adress an dem Port vum Server schwätzen. Op Linux ass dat e UDP-Socket, un déi al Quell gebonnen; wann d’Interface ewechgeholl gëtt, déi d’Adress hält, da schléissen d’Sendungen entweder mat EADDRNOTAVAIL of oder si ginn iwwer déi nei Interface eraus mat enger Quell, déi de Server nach ni gesinn huet.
Déi wäit Säit hält hir eege Steck. Eng IKEv2-SA ouni MOBIKE gëtt duerch d’Adresspaar identifizéiert, an eng OpenVPN-Sessioun ass un d’Peeradress gebonnen, déi se geléiert huet, an eng NAT-Mapping gehéiert zu der privater Adress, dem Port an der ëffentlecher Adress, déi se gemaach hunn. Wiesselt hannert en anert NAT, an all Äntwert geet op eng Mapping, déi et net méi gëtt. Näischt op denger Maschinn ass falsch konfiguréiert; de Fënnefsaatz weist op en Netz, dat s du verlooss hues.
Lies den Zoustand, ier s du theoriséiersch:
ss -unpweist d’lokal Adress an de Port, déi all Tunnel-Socket wierklech hält.ip route get 203.0.113.10dréckt d’Quelladress an d’Apparat aus, déi de Kernel just elo fir den Endpunkt géif benotzen.wg show wg0 endpoints,swanctl --list-sasoder de Client-Log weist d’Peeradress, mat där déi wäit Säit mengt ze schwätzen.
Wann d’Socketadress an d’Route-Sich net iwwereneestëmmen, hues du de Broch fonnt, an et wäert keng Ännerung vun den Umeldungsdaten en beréieren.
Wat all Protokoll mat enger neier Quelladress mécht
D’Clienten absorbéieren d’Ännerung a verschiddenem Mooss, an den Tableau ass dat, woumat ech d’Client-Konfiguratioun vergläichen, amplaz aus dem Neiverbindungsverhalen ze roden.
| Tunnel | Recovery behaviour | Failure signature |
|---|---|---|
| WireGuard | Updates the peer endpoint when an authenticated packet arrives from a new address; no handshake needed if traffic continues. | Handshake current, no return traffic; wg show still lists the old endpoint. |
| IKEv2/IPsec | MOBIKE (RFC 4555) moves the SA to the new address; without it the responder discards packets from an unknown source. | DPD or keepalive timeouts, then a full rekey or a dead SA. |
| OpenVPN over UDP | --float accepts a packet from a new source mid-session; otherwise the session stays tied to the original peer address. | Idle until ping-restart fires, then a visible reconnect. |
| OpenVPN over TCP | The tunnel is a byte stream, so a changed source address breaks it outright. | Immediate reset and a new connection attempt. |
D’Roaming-Regel vu WireGuard funktionéiert nëmmen an eng Richtung: de Client muss als éischten aus der neier Adress schécken. En Socket, deen nach un déi al Interface gebonnen ass, mécht dat ni, dofir kann en Tunnel lieweg ausgesinn, wärend seng Handshake-Timer altert. Protokollbeschreiwung gëtt d’Bedingung fir d’Aktualiséierung vum Endpunkt genee un, an et ass derwäert, se ze liesen, ier s du eng Konfiguratioun ännersch.
MOBIKE gëtt ausgehandelt, net ugeholl. Wann de Server en net ubitt, muss de Client nei opbauen, an dat ass eng Tatsaach, déi s du aus der SA-Lëscht oder dem Log bestätegs, an net aus engem dréiende Rad erausfolgers.
D’Routerprioritéit entscheet de Wee, net d’Wi-Fi-Icon
Wann béid Interfacen uewen sinn, wielt de Kernel no Metrik a Präfixlängt. ip route show default zielt d’Kandidaten op an ip route get 203.0.113.10 léist déi richteg Entscheedung, inklusiv der Quelladress. Eng ugedriwwen Standardroute op Metrik 100 an eng drahtlos eng op 600 heeschen, datt den Endpunkt sech an deem Moment réckelt, wou de Kabel sech setzt, wärend all Applikatioun, déi virdrun e Socket opgemaach huet, seng al Quell behält.
Windows mécht datselwecht mat automateschen Interface-Metriken, beaflosst vun der Linkgeschwindegkeet. Get-NetRoute -DestinationPrefix 0.0.0.0/0 sortéiert d’Kandidaten an Find-NetRoute -RemoteIPAddress 203.0.113.10 gëtt d’Interface an d’Quell zréck, déi de Stack géif wielen. En Client, deen säi baussenzege Socket un eng Interface bindt, benotzt en och weider, nodeem d’Metrik ëmgekippt ass; dat ass eng Bindungsentscheedung, keen Routingfehler.
Android mécht d’Opdeelung sichtbar: ConnectivityManager mellt déi verfügbar Netzwierker an en eegene Standard, an eng VPN-App, déi e Socket un en Network-Objekt bindt, hält déi Bindung, bis se sech nei bindt. Op macOS scutil --nwi dréckt d’primär Interface an d’Reihenfolg aus, déi de System géif benotzen.
DNS, MTU an IPv6 réckele sech mat der Verbindung
Eng nei Verbindung bréngt nei Resolveren. Mat systemd-resolved ass DNS pro Link, resolvectl status weist, wéi ee Link op en Numm äntwert, an en Gaaschtnetz, dat säin eegene Resolver verdeelt, kann den DNS, deen den Tunnel gestouss huet, onbenotzt loossen, bis de Link nees bevorzugt gëtt. En agefaangene Portal mécht et schlëmmer: déi éischt HTTPS-Ufro gëtt vum Portal beäntwert amplaz vum Endpunkt, an de Client registréiert en doudege Server.
D’MTU vum Wee ännert sech och. Ethernet a Wi-Fi droen meeschtens 1500 Byte, PPPoE 1492, a mobil Links dacks manner. En Tunnel, deen eng kleng MTU ierft, stockt bei grousse Paketen, wärend kleng Ufroen duerchginn, wat als hallef kaputt Verbindung gelies gëtt. ping -M do -s 1472 203.0.113.10 schéckt e Pak vun 1500 Byte mat gesaten DF; Stëllt heescht, datt de Wee méi kleng ass, wéi s du ugeholl hues.
IPv6 ass déi aner Halschecht. En Netz, dat en neie Präfix vergëtt, ännert d’Quell, déi en Dual-Stack-Client géif benotzen, an en Tunnel nëmme mat v4 léisst de v6-Verkehr dobaussen, bis d’Politik nozitt. ip -6 route show default an ip -6 addr show äntweren, ob den neie Link iwwerhaapt e v6-Wee huet.
Reproduzéier den Iwwergang, amplaz en ze beschreiwen
Wiel eng harmlos Ufro a fuert déi selwecht dräi Kommandoen op béide Säite vun der Ännerung aus: ip -br addr, ip route show default, ip route get 203.0.113.10. Kuck duerno, ob den Tunnel nach Paketer ausse schéckt - tcpdump -ni any udp port 51820 fir WireGuard, de passenden Port fir alles anescht. Paketer, déi aus der aler Quell erausginn, bedeiten e Bindungsproblem. Paketer aus der neier Quell ouni Äntwert bedeiten déi wäit Säit oder d’NAT dertëschent.
Notéier, wéi ee Evenement mam éischten Defekt zesummefall ass: Verbindung erof, Adressännnerung oder Ännerung vun der Standardroute. Déi weisen op verschidde Verantwortlecher - en Client, deen nei gebonne muss ginn, eng Adress, déi nei misst kritt ginn, oder eng Route, déi zu enger Konfiguratiounsdatei gehéiert an net zu enger permanenter Ëmwee-Regel.
Ier s du et als gefléckt bezeechners, bestätegs, datt de Block fir den direkte Verkehr während der Ënnerbriechung nach hält an datt Nimm iwwer déi nei Verbindung opgeléist ginn. Wann de Client nom Ëmschalten den alen Endpunkt behält, fléck als éischt d’Roaming- oder Float-Stellung. Wann en richteg roamet an nach ëmmer keng Äntwert kritt, kuck op d’Peeridentitéit vum Server an d’NAT um Wee, a behält béid Netzwierkkontexxter am Bericht, fir datt déi nächst Persoun se ka vergläichen.