Iestrēdzis VPN pēc maršrutētāja restartēšanas: trīs lietas, kas mainījās

Maršrutētājs pabeidz palaišanu, portatīvais dators atkal pievienojas tam pašam SSID, un VPN paliek stāvoklī pievienots, kamēr nekas nekustas. Saglabātais profils ir neskarts. Tas, kas zem tā beidzās, bija ceļš, un klients joprojām tur to stāvokli, ko bija izveidojis vecajam.

Labojumu nosaka trīs nosacījumi. Pārbaudiet tos secīgi, jo vēlākie ir veltīgs darbs, ja pirmais jau izskaidro apstāšanos.

Pirmais nosacījums: vietējā adrese ir mainījusies

Restartēšana var piešķirt iekārtai citu adresi. Tad VPN, kas konfigurēts ar fiksētu vietējo galapunktu, turpina izmantot savienojumu, kura vairs nav. Tas pats attiecas uz klientu, kas savu ligzdu piesaistīja vecajai adresei. Tuneļa saskarne var palikt aktīva, kamēr katrs tās radītais pakets aiziet nekur.

Salīdziniet adresi, ko izmanto klients, ar adresi, kas saskarnei ir tagad. Noklusējuma maršruts, kas norāda uz arī mainījušos vārteju, ir tā pati problēma citā vārdā.

ip -4 addr show
ip route show default
ip route get 203.0.113.10

Otrais nosacījums: pārtulkotais kartējums ir pazudis

Mājas maršrutētāji pārtulko izejošās plūsmas, un šie kartējumi dzīvo atmiņā. Restartēšana izdzēš katru no tiem. Tas ir nekaitīgi jaunam savienojumam un liktenīgi tunelim, kas tic, ka tā esošā plūsma joprojām ir derīga. Tad pretējā puse neko neredz, tāpēc klients nekad nesaņem kļūdu, ar ko varētu rīkoties.

Šeit tunelis bez keepalive apstājas klusi, nevis neizdodas skaļi. Dokumentētie ierobežojumi programmā WireGuard apraksta to pašu kļūmes formu. Nepareizs galapunkta stāvoklis rada izmestus paketus, nevis diagnostiku.

Pastāvīgs 25 sekunžu keepalive ir ierastais mīkstinājums, jo atsvaidzina kartējumu, pirms var beigties dīkstāves taimauts. Tas nesalabo jau pazudušu kartējumu. Savienojiet keepalive ar atkārtotas savienošanās loģiku, nevis uzskatiet to par labojumu.

Trešais nosacījums: publiskā adrese ir mainījusies

Ja ir mainījusies paša maršrutētāja ārējā adrese, viss otrā pusē, kas filtrē pēc avota adreses, tagad redz citu partneri. Tunelis var pacelties, un serveris joprojām var izmest datplūsmu; tas izskatās pēc salauzta klienta un patiesībā ir politika otrā galā.

Pierakstiet ārējo adresi pirms restartēšanas un pēc tās. Kad abas atšķiras, jautājums pāriet no klienta uz to, kas uztur atļauto sarakstu, un akreditācijas datu atiestatīšana portatīvajā datorā nevar palīdzēt.

Atjaunojiet pareizā secībā

Vispirms pabeidziet jebkuru nepieciešamo captive portāla pierakstīšanos, tad ļaujiet klientam atkal pievienoties ar tā atbalstīto procedūru, nevis nogaliniet procesu. Vērojiet, vai atjaunojas gan identitāte, gan datu plūsma, jo tie ir divi dažādi viena savienojuma posmi.

Kešatmiņā saglabāta lapa neko nepierāda, un ne arī tērzēšanas lietotne, kas pati atkal pievienojās. Pārbaudiet galapunktu, kas jums tiešām svarīgs, ar jaunu pieprasījumu. Pārtraukuma laikā saglabājiet tiešās datplūsmas politiku, jo atkārtotas savienošanās mēģinājums nav bloķēšana.

Kad tas atkārtojas pēc katras restartēšanas, pieraksts ir svarīgāks par atkārtošanu. Pierakstiet vietējo adresi, vārteju, ārējo adresi un klienta stāvokli pirms un pēc, tad salīdziniet abas ailes. Tas pārvērš neskaidru sūdzību dzīves cikla kļūdā, ko kāds var izlabot, un aptur trešo sertifikātu nomaiņu kartējuma taimauta dēļ.