Јавната IP се промени и VPN-от престана да пренесува сообраќај

Повторно поврзување кај давателот или промена во преводот горе во синџирот го менува јавниот извор на VPN сесијата, додека локалната приватна адреса на клиентот обично останува точно каква што била. Тогаш тунелот изгледа поврзан, а низ него не поминува ништо корисно. Двете набљудувања се вистинити во исто време, и токму тоа го прави извештајот збунувачки.

Поминете ги четирите проверки по ред и запрете на првата што не успее.

Која адреса всушност се промени

Споредете ја состојбата на локалниот интерфејс со изворот што го гледа далечна крајна точка, во точка каде што имате овластување да гледате. Нова јавна адреса не значи нова локална порта, а промената на локалниот интерфејс исто така не гарантира дека јавниот извор се преместил. Преводот помеѓу значи дека тоа се два независни факти. Запишете ја точната патека и времето кога сте ја набљудувале, бидејќи геолокациска ознака копирана од стар извештај одговара на друго прашање.

Прашајте конкретно дали се промени надворешниот извор, внатрешната адреса на тунелот или двете. Само првото објаснува партнер што продолжува да испраќа по патека што повеќе не постои.

Нека протоколот се справи со преместувањето

Протоколите се разликуваат по тоа како дознаваат дека партнерот се преместил, и таа разлика е важна за прашањето дали воопшто треба да се вмешате. WireGuard ја ажурира крајната точка на партнерот кога ќе прими пакет што се автентицира со клучот на тој партнер, и затоа промената на адресата може да се апсорбира без никаква конфигурација. IKEv2 има MOBIKE за истата цел каде што го поддржуваат двата краја. Постарите решенија се опоравуваат со повторно градење на тунелот.

Она што не треба да го правите е да прифатите неавтентицирана порака како доказ дека идентитетот на партнерот се преместил. Тривијално е да се фалсификува датаграм што тврди нова адреса, а клиент што верува дека може да се насочи кон крајната точка на напаѓачот. Автентицираниот протокол е механизмот; известувањето не е.

wg show wg0 endpoints
wg show wg0 latest-handshakes
conntrack -L -p udp --dport 51820 | head -n 10

Исчистете го застареното надворешно врзување

Кога протоколот поддржува роаминг, а сообраќајот сепак не поминува, пречката често е уред што чува состојба во средината или политика на далечниот крај. Огнениот ѕид што го следеше стариот тек може да го задржи застарениот запис, а правилото за пристап на серверската страна врзано за стариот извор тивко ќе го отфрли новиот. Чистењето на мапирањето и повторната проверка на правилото е побрзо од замена на акредитивите.

Задржете го потребното блокирање додека истражувате. Широкото отворање на политиката за да проверите дали тунелот се опоравува не ве учи на ништо за причината и го остава распоредувањето полошо отколку што го најдовте.

Тестирајте повторно со ново барање

Сесија на апликација воспоставена пред промената не ја преживува, бидејќи четворката врз која е изградена повеќе не постои. По опоравувањето генерирајте ново барање и потврдете дека се завршува, наместо да гледате како старо преземање стои на нула и да заклучите дека тунелот останува расипан. Токму таа единствена разлика решава голем дел од овие извештаи.

Потоа запишете ги двете половини од дијагнозата: што се промени горе во синџирот и кој поддржан чекор за опоравување го врати текот. Следниот случај ќе биде побрз, а белешката е тоа што го прави побрз.

Ако новото барање успее, а старото никогаш не се продолжи, тунелот е поправен и апликацијата само треба повторно да се поврзе.