IP awam berubah dan VPN berhenti menghantar trafik

Sambungan semula oleh penyedia atau perubahan dalam terjemahan di huluan mengubah sumber awam sesi VPN, manakala alamat peribadi tempatan klien biasanya kekal tepat seperti asalnya. Terowong kemudian kelihatan bersambung sedangkan tiada apa yang berguna melaluinya. Kedua-dua pemerhatian itu benar serentak, dan itulah yang membuatkan laporan ini mengelirukan.

Lakukan keempat-empat semakan mengikut urutan dan berhenti pada yang pertama gagal.

Alamat mana yang benar-benar berubah

Bandingkan keadaan antara muka tempatan dengan sumber yang dilihat oleh titik akhir jauh, pada titik di mana anda diberi kuasa untuk melihat. Alamat awam baharu tidak bermakna get laluan tempatan baharu, dan perubahan antara muka tempatan juga tidak menjamin sumber awam telah berpindah. Terjemahan di antaranya bermakna kedua-duanya fakta yang bebas. Catat laluan tepat dan masa anda memerhatikannya, kerana label geolokasi yang disalin daripada laporan lama menjawab soalan yang berbeza.

Tanya secara khusus sama ada sumber luar berubah, alamat dalam terowong berubah, atau kedua-duanya. Hanya yang pertama menjelaskan rakan yang terus menghantar ke laluan yang tidak lagi wujud.

Biarkan protokol mengendalikan perpindahan

Protokol berbeza dalam cara mereka mengetahui rakan telah berpindah, dan perbezaan itu penting untuk menentukan sama ada anda perlu campur tangan. WireGuard mengemas kini titik akhir rakan apabila menerima paket yang disahkan dengan kunci rakan itu, sebab itulah perubahan alamat boleh diserap tanpa sebarang konfigurasi. IKEv2 mempunyai MOBIKE untuk tujuan yang sama di mana kedua-dua hujung menyokongnya. Reka bentuk lama pulih dengan membina semula terowong.

Apa yang anda tidak patut lakukan ialah menerima mesej tanpa pengesahan sebagai bukti bahawa identiti rakan telah berpindah. Memalsukan datagram yang mendakwa alamat baharu itu mudah, dan klien yang percaya ia boleh dihalakan ke titik akhir penyerang. Protokol yang disahkan ialah mekanismenya; pemberitahuan bukan.

wg show wg0 endpoints
wg show wg0 latest-handshakes
conntrack -L -p udp --dport 51820 | head -n 10

Kosongkan pengikatan luar yang lapuk

Apabila protokol menyokong perayauan dan trafik masih gagal, halangannya selalunya peralatan yang menyimpan keadaan di tengah atau dasar di hujung jauh. Tembok api yang menjejaki aliran lama mungkin menyimpan entri lapuk, dan peraturan capaian di sebelah pelayan yang terikat pada sumber lama akan menggugurkan yang baharu secara senyap. Membersihkan pemetaan dan menyemak semula peraturan lebih pantas daripada menggantikan kelayakan.

Kekalkan sekatan yang diperlukan semasa siasatan. Membuka dasar luas-luas untuk menguji sama ada terowong pulih tidak mengajar anda apa-apa tentang puncanya dan meninggalkan penggunaan lebih teruk daripada yang anda temui.

Uji semula dengan permintaan baharu

Sesi aplikasi yang dibina sebelum perubahan tidak dapat melepasinya, kerana empat-tupel yang menjadi asasnya tidak lagi wujud. Hasilkan permintaan baharu selepas pemulihan dan pastikan ia selesai, bukannya menonton muat turun lama terhenti pada sifar dan menyimpulkan terowong masih rosak. Perbezaan tunggal itulah yang menyelesaikan sebahagian besar laporan seperti ini.

Kemudian catat kedua-dua separuh diagnosis: apa yang berubah di huluan, dan langkah pemulihan yang disokong mana yang mengembalikan aliran. Kejadian seterusnya akan lebih pantas, dan catatan itulah yang menjadikannya lebih pantas.

Jika permintaan baharu berjaya dan yang lama tidak pernah disambung semula, terowong telah dibaiki dan aplikasi hanya perlu bersambung semula.