Verejná IP sa zmenila a VPN prestala prenášať prevádzku

Opätovné pripojenie u poskytovateľa alebo zmena v preklade vyššie v sieti mení verejný zdroj relácie VPN, zatiaľ čo lokálna privátna adresa klienta zvyčajne zostáva presne taká, aká bola. Tunel potom vyzerá pripojený, hoci cez neho neprechádza nič užitočné. Obe pozorovania platia súčasne, a práve preto je správa mätúca.

Prejdite štyri kontroly po poradí a zastavte sa pri prvej, ktorá zlyhá.

Ktorá adresa sa vlastne zmenila

Porovnajte stav lokálneho rozhrania so zdrojom, ktorý vidí vzdialený koncový bod, v mieste, kde máte oprávnenie pozerať sa. Nová verejná adresa neznamená novú lokálnu bránu a zmena lokálneho rozhrania tiež nezaručuje, že sa verejný zdroj posunul. Preklad medzi tým znamená, že ide o dva nezávislé fakty. Zapíšte presnú cestu a čas, keď ste ju pozorovali, pretože geolokačný štítok skopírovaný zo starej správy odpovedá na inú otázku.

Pýtajte sa konkrétne, či sa zmenil vonkajší zdroj, vnútorná adresa tunela, alebo oboje. Iba prvá možnosť vysvetľuje partnera, ktorý naďalej posiela na cestu, ktorá už neexistuje.

Nechajte protokol vyriešiť presun

Protokoly sa líšia v tom, ako zistia, že sa partner presunul, a tento rozdiel je dôležitý pre otázku, či vôbec máte zasiahnuť. WireGuard aktualizuje koncový bod partnera, keď dostane paket, ktorý sa autentizuje kľúčom tohto partnera, a preto sa zmena adresy dá prijať bez akejkoľvek konfigurácie. IKEv2 má na rovnaký účel MOBIKE tam, kde ho podporujú oba konce. Staršie návrhy sa zotavujú prestavbou tunela.

Čo by ste nemali robiť, je prijať neautentizovanú správu ako dôkaz, že sa identita partnera presunula. Podvrhnúť datagram tvrdiaci novú adresu je triviálne a klient, ktorý verí, že ho možno nasmerovať na koncový bod útočníka. Autentizovaný protokol je mechanizmus; oznámenie nie je.

wg show wg0 endpoints
wg show wg0 latest-handshakes
conntrack -L -p udp --dport 51820 | head -n 10

Odstráňte zastarané vonkajšie naviazanie

Keď protokol podporuje roaming a prevádzka napriek tomu zlyháva, prekážkou býva stavové zariadenie na ceste alebo pravidlo na vzdialenej strane. Firewall, ktorý sledoval starý tok, si môže ponechať zastaraný záznam a prístupové pravidlo na strane servera naviazané na starý zdroj potichu zahodí nový. Vyčistiť mapovanie a znova skontrolovať pravidlo je rýchlejšie ako vymeniť prihlasovacie údaje.

Počas vyšetrovania udržujte požadované blokovanie v platnosti. Široké otvorenie pravidiel na test, či sa tunel zotaví, vás o príčine nič nenaučí a nasadenie nechá horšie, než ste ho našli.

Otestujte znova novou požiadavkou

Relácia aplikácie nadviazaná pred zmenou ju neprežije, pretože štvorica, na ktorej bola postavená, už neexistuje. Po obnovení vygenerujte novú požiadavku a potvrďte, že sa dokončí, namiesto toho, aby ste sledovali, ako staré sťahovanie stojí na nule, a usudzovali, že tunel je stále pokazený. Práve tento jediný rozdiel vyrieši veľkú časť takýchto správ.

Potom zapíšte obe polovice diagnózy: čo sa zmenilo vyššie v sieti a ktorý podporovaný krok obnovy vrátil tok. Ďalší výskyt bude rýchlejší a poznámka je to, čo ho rýchlejším robí.

Ak nová požiadavka uspeje a stará sa nikdy neobnoví, tunel bol opravený a aplikácia sa jednoducho musí znova pripojiť.