VPN zaglavljen nakon restarta rutera: tri stvari koje su se promijenile

Ruter završi pokretanje, laptop se ponovo pridruži istom SSID-u, a VPN stoji na povezano bez ičega što se kreće. Sačuvani profil je netaknut. Ono što je ispod njega isteklo bila je putanja, a klijent još drži stanje koje je izgradio za staru.

Ispravku određuju tri uslova. Provjeravajte ih po redu, jer su kasniji uzaludan posao ako prvi već objašnjava zastoj.

Uslov prvi: lokalna adresa se promijenila

Restart može dati mašini drugu adresu. VPN konfigurisan s fiksnom lokalnom tačkom tada nastavlja koristiti vezu koja više ne postoji. Isto vrijedi za klijenta koji je vezao svoj soket na staru adresu. Interfejs tunela može ostati podignut dok svaki paket koji proizvede ide nigdje korisno.

Uporedite adresu koju klijent koristi s adresom koju interfejs trenutno ima. Podrazumijevana ruta koja pokazuje na gateway koji se takođe promijenio ista je vrsta problema pod drugim imenom.

ip -4 addr show
ip route show default
ip route get 203.0.113.10

Uslov drugi: prevedeno mapiranje je nestalo

Kućni ruteri prevode odlazne tokove, a ta mapiranja žive u memoriji. Restart briše svako od njih. To je bezopasno za novu vezu i kobno za tunel koji vjeruje da mu je postojeći tok još valjan. Partner tada ne vidi ništa, pa klijent nikada ne dobije grešku na koju može reagovati.

Tu tunel bez keepalive-a zastaje tiho umjesto da glasno padne. Dokumentovana ograničenja WireGuarda opisuju isti oblik kvara. Pogrešno stanje krajnje tačke proizvodi odbačene pakete umjesto dijagnostike.

Trajni keepalive od 25 sekundi uobičajena je mjera ublažavanja, jer osvježava mapiranje prije nego što istekne tajmaut mirovanja. On ne popravlja mapiranje koje je već nestalo. Uparite keepalive s logikom ponovnog povezivanja umjesto da ga tretirate kao ispravku.

Uslov treći: javna adresa se promijenila

Ako se vlastita vanjska adresa rutera promijenila, sve na drugoj strani što filtrira po izvornoj adresi sada vidi drugog partnera. Tunel se može podići, a server i dalje odbacivati saobraćaj; to izgleda kao pokvaren klijent, a zapravo je politika na drugoj strani.

Zabilježite vanjsku adresu prije i poslije restarta. Kada se dvije razlikuju, pitanje se seli s klijenta na onoga ko održava listu dozvoljenih, a resetovanje vjerodajnica na laptopu ne može pomoći.

Oporavite se pravim redom

Prvo dovršite obaveznu prijavu na captive portal, zatim pustite klijenta da se ponovo poveže svojom podržanom procedurom umjesto da ubijate proces. Pratite da li se oporavljaju i identitet i podaci, jer su to dvije različite faze iste veze.

Keširana stranica ništa ne dokazuje, kao ni chat aplikacija koja se sama ponovo povezala. Testirajte krajnju tačku do koje vam je zaista stalo novim zahtjevom. Držite politiku direktnog saobraćaja na snazi tokom prekida, jer pokušaj ponovnog povezivanja nije blokada.

Kada se to ponavlja nakon svakog restarta, zapis je važniji od ponovnog pokušaja. Zabilježite lokalnu adresu, gateway, vanjsku adresu i stanje klijenta prije i poslije, pa uporedite dvije kolone. To pretvara nejasnu žalbu u grešku životnog ciklusa koju neko može popraviti i zaustavlja treću zamjenu certifikata zbog tajmauta mapiranja.