Javni IP se je spremenil in VPN je prenehala prenašati promet

Ponovna povezava pri ponudniku ali sprememba v prevajanju višje v verigi spremeni javni vir seje VPN, medtem ko lokalni zasebni naslov odjemalca običajno ostane natanko tak, kot je bil. Predor se nato zdi povezan, čeprav skozenj ne gre nič koristnega. Obe opažanji veljata hkrati, in prav zato je poročilo zmedeno.

Pojdite skozi štiri preverjanja po vrsti in se ustavite pri prvem, ki spodleti.

Kateri naslov se je dejansko spremenil

Primerjajte stanje lokalnega vmesnika z virom, ki ga vidi oddaljena končna točka, na mestu, kjer imate dovoljenje gledati. Nov javni naslov ne pomeni nove lokalne prehodne točke, in sprememba lokalnega vmesnika tudi ne zagotavlja, da se je javni vir premaknil. Prevajanje vmes pomeni, da gre za dve neodvisni dejstvi. Zapišite natančno pot in čas, ko ste jo opazovali, ker oznaka geolokacije, kopirana iz starega poročila, odgovarja na drugo vprašanje.

Vprašajte konkretno, ali se je spremenil zunanji vir, notranji naslov predora ali oboje. Samo prvo pojasni partnerja, ki še vedno pošilja po poti, ki ne obstaja več.

Pustite protokolu, da se ukvarja s premikom

Protokoli se razlikujejo po tem, kako izvedo, da se je partner premaknil, in ta razlika je pomembna za vprašanje, ali sploh smete poseči. WireGuard posodobi končno točko partnerja, ko prejme paket, ki se overi s ključem tega partnerja, zato je spremembo naslova mogoče sprejeti brez kakršne koli konfiguracije. IKEv2 ima za isti namen MOBIKE tam, kjer ga podpirata oba konca. Starejše zasnove si opomorejo s ponovno gradnjo predora.

Česar ne smete storiti, je sprejeti neoverjeno sporočilo kot dokaz, da se je identiteta partnerja premaknila. Ponarediti podatkovni gram, ki trdi nov naslov, je trivialno, in odjemalec, ki verjame, da ga je mogoče usmeriti na končno točko napadalca. Overjeni protokol je mehanizem; obvestilo ni.

wg show wg0 endpoints
wg show wg0 latest-handshakes
conntrack -L -p udp --dport 51820 | head -n 10

Počistite zastarelo zunanjo vezavo

Ko protokol podpira gostovanje in promet še vedno ne gre skozi, je ovira pogosto naprava, ki hrani stanje na sredini ali pravilo na oddaljenem koncu. Požarni zid, ki je sledil staremu toku, lahko obdrži zastarel vnos, in pravilo za dostop na strežniški strani, vezano na stari vir, bo novega tiho zavrglo. Čiščenje preslikave in ponovno preverjanje pravila je hitrejše od zamenjave poverilnic.

Med preiskavo ohranite zahtevano blokiranje. Široko odpiranje pravilnika, da bi preizkusili, ali se predor obnovi, vas o vzroku ne nauči ničesar in razporeditev pusti slabšo, kot ste jo našli.

Preizkusite znova z novo zahtevo

Seja aplikacije, vzpostavljena pred spremembo, je ne preživi, ker četverica, na kateri je bila zgrajena, ne obstaja več. Po obnovitvi ustvarite novo zahtevo in potrdite, da se zaključi, namesto da gledate, kako stari prenos stoji na ničli, in sklepate, da je predor še vedno pokvarjen. Prav ta ena razlika reši velik del takih poročil.

Nato zapišite obe polovici diagnoze: kaj se je spremenilo višje v verigi in kateri podprti korak obnovitve je vrnil tok. Naslednji primer bo hitrejši, in prav zapis je tisto, kar ga naredi hitrejšega.

Če nova zahteva uspe in stara se nikoli ne nadaljuje, je bil predor popravljen in aplikacija se mora preprosto znova povezati.