Viešasis IP pasikeitė, o VPN nustojo praleisti srautą

Pokytis aukščiau gali padaryti išorinį kelią negaliojantį, nors visi vietiniai adresai lieka tokie patys. Patikrinkite roamingo palaikymą ir naują autentifikuotą užklausą.

Pakartotinis prisijungimas pas tiekėją arba vertimo pokytis aukščiau pakeičia viešąjį VPN sesijos šaltinį, o vietinis privatus kliento adresas paprastai lieka lygiai toks, koks buvo. Tada tunelis atrodo prisijungęs, nors per jį nepereina nieko naudingo. Abu pastebėjimai teisingi vienu metu, ir būtent tai daro ataskaitą painią.

Atlikite keturis patikrinimus iš eilės ir sustokite ties pirmuoju, kuris nepavyksta.

Kuris adresas iš tikrųjų pasikeitė

Palyginkite vietinės sąsajos būseną su šaltiniu, kurį mato nuotolinis galinis taškas, toje vietoje, kur jums leidžiama žiūrėti. Naujas viešasis adresas nereiškia naujo vietinio šliuzo, o vietinės sąsajos pokytis taip pat negarantuoja, kad viešasis šaltinis pasislinko. Vertimas tarp jų reiškia, kad tai du nepriklausomi faktai. Užrašykite tikslų kelią ir laiką, kada jį stebėjote, nes geolokacijos žymė, nukopijuota iš senos ataskaitos, atsako į kitą klausimą.

Klauskite konkrečiai, ar pasikeitė išorinis šaltinis, vidinis tunelio adresas, ar abu. Tik pirmasis paaiškina partnerį, kuris toliau siunčia keliu, kurio nebėra.

Tegul protokolas pats tvarko poslinkį

Protokolai skiriasi tuo, kaip sužino, kad partneris pasislinko, ir šis skirtumas svarbus sprendžiant, ar apskritai reikia įsikišti. WireGuard atnaujina partnerio galinį tašką, kai gauna paketą, kuris autentifikuojamas to partnerio raktu, todėl adreso pokytis gali būti absorbuotas be jokios konfigūracijos. IKEv2 turi MOBIKE tam pačiam tikslui ten, kur abu galai tai palaiko. Senesni sprendimai atsistato perstatydami tunelį.

Ko neturėtumėte daryti, tai priimti neautentifikuotą pranešimą kaip įrodymą, kad partnerio tapatybė pasislinko. Suklastoti datagramą, teigiantį naują adresą, yra trivialu, o klientas, kuris tiki, kad jį galima nukreipti į užpuoliko galinį tašką. Autentifikuotas protokolas yra mechanizmas; pranešimas – ne.

wg show wg0 endpoints
wg show wg0 latest-handshakes
conntrack -L -p udp --dport 51820 | head -n 10

Išvalykite pasenusį išorinį susiejimą

Kai protokolas palaiko roamingą, o srautas vis tiek nepraeina, kliūtis dažnai yra būseną išlaikanti įranga viduryje arba taisyklė tolimajame gale. Ugniasienė, kuri sekė seną srautą, gali išlaikyti pasenusį įrašą, o serverio pusės prieigos taisyklė, susieta su senu šaltiniu, tyliai atmes naują. Išvalyti susiejimą ir dar kartą patikrinti taisyklę greičiau nei pakeisti prisijungimo duomenis.

Tyrimo metu palikite būtiną blokavimą galioti. Plačiai atverti taisyklę bandant, ar tunelis atsistatys, nieko neišmoko apie priežastį ir palieka diegimą blogesnį, nei radote.

Išbandykite dar kartą su nauja užklausa

Programos sesija, sukurta prieš pokytį, jo nepergyvena, nes ketvertas, kuriuo ji buvo pagrįsta, nebeegzistuoja. Po atkūrimo sugeneruokite naują užklausą ir patvirtinkite, kad ji baigiama, o ne stebėkite, kaip senas atsisiuntimas stovi ties nuliu, ir darykite išvadą, kad tunelis vis dar sulūžęs. Būtent šis vienas skirtumas išsprendžia didelę dalį tokių ataskaitų.

Tada užrašykite abi diagnozės puses: kas pasikeitė aukščiau ir kuris palaikomas atkūrimo žingsnis grąžino srautą. Kitas atvejis bus greitesnis, ir būtent užrašas jį daro greitesnį.

Jei nauja užklausa pavyksta, o senoji niekada neatsinaujina, tunelis buvo sutaisytas ir programai tereikia vėl prisijungti.

Susiję straipsniai