IP-ja publike ndryshoi dhe VPN-ja ndaloi kalimin e trafikut

Një rilidhje te ofruesi ose një ndryshim në përkthimin në rrjedhën e sipërme ndryshon burimin publik të një sesioni VPN, ndërsa adresa private lokale e klientit zakonisht mbetet saktësisht siç ishte. Tuneli atëherë duket i lidhur ndërsa asgjë e dobishme nuk kalon nëpër të. Të dy vëzhgimet janë të vërteta njëkohësisht, dhe pikërisht kjo e bën raportin konfuz.

Kryeni katër kontrollet sipas radhës dhe ndaloni te i pari që dështon.

Cila adresë ndryshoi në të vërtetë

Krahasoni gjendjen e ndërfaqes lokale me burimin që sheh një pikë fundore e largët, në një pikë ku ju lejohet të shikoni. Një adresë e re publike nuk nënkupton një portë lokale të re, dhe një ndryshim i ndërfaqes lokale as nuk garanton që burimi publik është zhvendosur. Përkthimi në mes do të thotë që janë dy fakte të pavarura. Shënoni rrugën e saktë dhe kohën kur e vëzhguat, sepse një etiketë gjeolokacioni e kopjuar nga një raport i vjetër i përgjigjet një pyetjeje tjetër.

Pyetni konkretisht nëse ndryshoi burimi i jashtëm, adresa e brendshme e tunelit, apo të dyja. Vetëm e para shpjegon një partner që vazhdon të dërgojë në një rrugë që nuk ekziston më.

Lëreni protokollin të merret me zhvendosjen

Protokollet ndryshojnë në mënyrën se si mësojnë që një partner është zhvendosur, dhe diferenca ka rëndësi për pyetjen nëse duhet të ndërhyni fare. WireGuard përditëson pikën fundore të një partneri kur merr një paketë që vërtetohet me çelësin e atij partneri, dhe për këtë arsye një ndryshim adrese mund të absorbohet pa asnjë konfigurim. IKEv2 ka MOBIKE për të njëjtin qëllim aty ku të dy skajet e mbështesin. Dizajnet më të vjetra rikuperohen duke rindërtuar tunelin.

Ajo që nuk duhet të bëni është të pranoni një mesazh të pavërtetuar si provë që identiteti i një partneri është zhvendosur. Është triviale të falsifikosh një datagram që pretendon një adresë të re, dhe një klient që beson se mund të drejtohet drejt pikës fundore të sulmuesit. Protokolli i vërtetuar është mekanizmi; një njoftim nuk është.

wg show wg0 endpoints
wg show wg0 latest-handshakes
conntrack -L -p udp --dport 51820 | head -n 10

Pastro lidhjen e jashtme të vjetruar

Kur protokolli mbështet roaming dhe trafiku ende dështon, pengesa shpesh është pajisje që mban gjendje në mes ose një politikë në skajin e largët. Një mur zjarri që ndiqte rrjedhën e vjetër mund të mbajë zërin e vjetruar, dhe një rregull hyrjeje në anën e serverit i lidhur me burimin e vjetër do ta hedhë poshtë atë të re në heshtje. Pastrimi i hartëzimit dhe rikontrolli i rregullit është më i shpejtë sesa zëvendësimi i kredencialeve.

Mbajeni në fuqi bllokimin e nevojshëm gjatë hetimit. Hapja e gjerë e politikës për të provuar nëse tuneli rikuperohet nuk ju mëson asgjë rreth shkakut dhe e lë vendosjen më keq sesa e gjetët.

Provoni përsëri me një kërkesë të re

Një sesion aplikacioni i krijuar para ndryshimit nuk i mbijeton atij, sepse katërfishi mbi të cilin u ndërtua nuk ekziston më. Pas rikuperimit gjeneroni një kërkesë të re dhe konfirmoni se përfundon, në vend që të shikoni një shkarkim të vjetër të ndalur në zero dhe të konkludoni se tuneli është ende i prishur. Pikërisht ky dallim i vetëm zgjidh një pjesë të madhe të këtyre raporteve.

Pastaj shënoni të dyja gjysmat e diagnozës: çfarë ndryshoi në rrjedhën e sipërme dhe cili hap rikuperimi i mbështetur e kthei rrjedhën. Herën tjetër do të jetë më e shpejtë, dhe shënimi është ai që e bën më të shpejtë.

Nëse një kërkesë e re ka sukses dhe ajo e vjetra nuk rifillon kurrë, tuneli u rregullua dhe aplikacioni thjesht duhet të rilidhet.