L-IP WAN inbidel u l-mina waqgħet: il-verifiki fl-ordni

Il-mina taqa', ir-router jirreġistra rikonnessjoni, u xejn fuq il-LAN ma ċċaqlaq. Indirizz WAN ġdid jinvalidaw il-konnessjoni ta' barra mingħajr ma jbiddel xejn ġewwa: l-indirizz tas-sors tal-klijent inbidel, l-istat NAT antik jindika sors li m'għadux jeżisti, u l-peer imbiegħed jista' għadu jibgħat fl-indirizz preċedenti. L-irkupru huwa mġiba normali, u l-mistoqsija utli hija liema stat naqas milli jiġi aġġornat.

Semmi l-avveniment qabel ma taqra l-log

Ivverifika x'ġara tassew fil-livell tal-aċċess. Tiġdid tal-lease mill-fornitur huwa avveniment wieħed. Sessjoni PPPoE li rrikonnetta hija ieħor. Modem tal-fibra li reġa' tella', jew failover WAN minn uplink għal ieħor, ibiddel l-indirizz ta' barra jew it-triq tiegħu b'tielet mod. Mhumiex l-istess avveniment u ma jħallux l-istess residwu.

Linja ta' rikonnessjoni fil-log tal-VPN lanqas hija prova ta' bidla fil-WAN. Timeout ta' inattività, intervall ta' riawtentikazzjoni u skoperta ta' peer mejjet kollha jipproduċu rikonnessjonijiet mingħajr ebda bidla fl-indirizz. Qabbel it-timbri tal-ħin mil-log tal-aċċess mal-log tal-VPN qabel ma tikkonkludi xi ħaġa, u żomm it-tieqa tal-paragun wiesgħa biżżejjed biex taqbad bidla li seħħet bil-lejl.

Ir-roaming u r-rikonnessjoni huma protokolli differenti

WireGuard għandu roaming awtentikat mibni fil-protokoll: meta peer jirċievi pakkett awtentikat b'mod korrett minn indirizz tas-sors ġdid, jaġġorna l-punt finali ta' dak il-peer. Il-bidu malajr ta' WireGuard jiddeskrivi l-konfigurazzjoni tal-peer li tagħmel dan possibbli, u għalhekk klijent fuq indirizz li jinbidel spiss jirkupra mingħajr restart viżibbli.

OpenVPN iġib ruħu b'mod differenti b'mod awtomatiku. Sessjoni UDP tista' tispiċċa u terġa' tikkonnettja, u l-imġiba float fakultattiva tippermetti lil peer awtentikat jkompli minn indirizz ġdid fejn il-konfigurazzjoni tippermetti. Il-mini bbażati fuq TCP huma aktar stretti, għax il-konnessjoni nnifisha hija marbuta mal-par ta' indirizzi. Dik id-differenza tiddetermina jekk l-irkupru jidhirx inviżibbli jew iħabbru lilu nnifsu fil-log kull darba.

L-ebda waħda miż-żewġ mġibiet ma tgħid xejn dwar l-applikazzjonijiet ġewwa. Mina rkuprata ma terġax tistabbilixxi sessjoni TCP li l-peer kien diġà jqis mejta.

Stat li l-mina ma tippossjedix

L-istat tat-traduzzjoni u r-rotta jgħixu r-rikonnessjoni b'modi li jissorprendu n-nies. Entrata conntrack maħluqa għas-sors antik iżżomm it-triq tar-risposta ankrata ma' indirizz li m'għadux jeżisti, u tiskadi skont l-iskeda tagħha stess, mhux meta l-mina rġa' lura. It-tnedija mill-ġdid tas-servizz tal-mina ma tqassarx dak l-istennija, għalhekk konnessjoni msewwija tista' għadha tidher maqtugħa għal xi żmien.

Ir-rotot u r-regoli tal-politika jistgħu jirreferu għall-gateway jew l-interface antiki. Sett ta' regoli li kien korrett qabel bidla fil-WAN jista' jindika apparat li issa huwa mitfi, li jipproduċi mina li tirrapporta bħala konnessa u traffiku li ma jmur imkien. Id-DNS dinamiku għal server li tospita huwa problema separata minn klijent li jakkwista sors ġdid. Ir-rekord irid jiġi aġġornat biex il-klijenti mill-bogħod isibuk, u l-ebda konfigurazzjoni fuq in-naħa tal-klijent ma tikkumpensa indirizz li t-traduzzjoni 'l fuq ma tgħaddix.

Ordna l-verifiki minn barra għal ġewwa

L-ordni hawn taħt timxi mill-konnessjoni ta' barra għal ġewwa, u l-waqfien fl-ewwel pass li jfalli huwa dak li jagħmilha utli: kull verifika teskludi s-saff ta' fuqha. Żomm dak l-ordni anki meta l-ħsara tidher ovvja.

wg show
ip -br addr show
ip route get 198.51.100.7
conntrack -L 2>/dev/null | grep -c ESTABLISHED
journalctl -u openvpn-client@home --since '-2 hours' | tail -n 40

L-ewwel kmand juri l-punt finali attwali u l-età tal-handshake għal kull peer. It-tieni u t-tielet juru jekk l-interface ta' barra u r-rotta lejn il-punt finali għadhom jagħmlu sens. L-għadd tal-conntrack huwa verifika grossolana tal-istat li baqa' mill-indirizz preċedenti, u l-journal huwa l-post fejn jiġi rreġistrat ir-raġuni tar-rikonnessjoni.

Imbagħad ittestja minn klijent tal-LAN u mhux mir-router. Ping mibgħut mir-router innifsu juża triq differenti mit-traffiku mgħoddi, għalhekk ping b'suċċess mir-router juri li l-mina teżisti u xejn dwar l-aċċessibilità tal-klijent.

Iddeċiedi l-imġiba mistennija u iktibha

Ir-rikonnessjoni hija mġiba korretta għall-biċċa l-kbira tal-varar, għalhekk l-għan mhuwiex li tipprevjeniha. Iddeċiedi minflok x'għandu jiġri mit-traffiku waqt il-vojt: twaqqfu, żommu, jew għaddi għal triq oħra. Dik id-deċiżjoni tappartjeni lill-firewall u lill-politika tar-rotta, mhux lill-profil tal-VPN.

Irreġistra l-avvenimenti tal-aċċess u l-ħinijiet tar-rikonnessjoni flimkien għal ġimgħa. Bidliet ripetuti mingħajr avveniment tal-aċċess li jaqbel jindikaw is-servizz tal-aċċess, u s-sostituzzjoni tal-profil tal-VPN ma ssewwix uplink li jkompli jirrinnegozja. Par wieħed ta' entrati fl-istess minuta jsolvi l-mistoqsija għal dak l-inċident u jagħti linja bażi lill-ieħor.