VPN мртав после спавања: изгубљен тунел или застарела апликација?

Поклопац се отвара, икона бежичне мреже се враћа, а VPN се и даље приказује као повезан. Затим прва интерна страница виси док не истекне време, а нова картица ради исто. Три различите ствари могу да створе ту слику и потребне су им три различите поправке: тунел који није преживео спавање, профил који нико није затражио да се поново активира, или апликација која још држи сесију умрлу пре неколико сати. Њихово поређење је брже од поновне инсталације било чега.

Три ствари могу да се покваре после буђења

Први кандидат је сам тунел. Интерфејс може још да постоји са адресом док је веза са партнером нестала, зато индикаторска лампица није доказ исправне путање. Руковање старије од спавања је знак, а за то је довољна једна команда.

Други је активирање. Многи клијенти се сами поново повезују; неки не, а профил који нико не позива да се врати само стоји и изгледа конфигурисан. Тај неуспех је тих по дизајну, јер ништа није пријавило грешку.

Трећи је апликација. Картица прегледача, SSH сесија или веза са базом података могу да преживе промену мреже као датотечни дескриптор док је транспорт испод њих мртав. Тада нова сесија ради беспрекорно, што вам каже да је тунел био у реду све време.

Упоредите три пре него што било шта промените, јер се поправке не преклапају. Рестартовање клијента који никада није био позван да поново почне троши доказ који вам је био потребан. Запишите ком кандидату симптом одговара пре него што додирнете конфигурацију. Та једна реченица обично одлучује остатак истраге.

Прво: да ли се тунел вратио?

Гледајте интерфејс и стање партнера, а не текст стања клијента. Интерфејс са адресом и без скорашњег руковања је тунел који постоји само по имену.

ip -brief addr show
wg show
ip route show table all | head -20

Ако интерфејс потпуно недостаје, тунел није преживео и питање постаје ко је требало да га врати. Ако постоји, али је руковање старо, везу са партнером треба поново успоставити, а клијент можда чека саобраћај који ће је покренути.

Проверите и руте и DNS конфигурацију. Тунел може да се врати без својих рута, што ствара збуњујуће стање у ком интерфејс ради а интерна имена се још решавају преко погрешног сервера.

Друго: да ли је нешто затражило да се врати?

Ту поређење оправдава себе. NetworkManager различито обрађује профил додатка OpenVPN и изворну WireGuard везу, а референца за подешавања везе јасно наводи да connection.autoconnect не активира VPN профиле; механизам за подизање VPN-а са везом је connection.secondaries.

nmcli connection show --active
nmcli -f connection.autoconnect,connection.secondaries connection show "Work VPN"
journalctl -u NetworkManager -b --no-pager | tail -40

Ако ручно поновно повезивање поправља проблем сваки пут, то је потпис недостајућег активирања, а не поквареног тунела. Дневник ће обично показати како интерфејс пада и ништа га не враћа.

Одуприте се нагону да одмах додате куку за спавање. Кука која се активира пре него што се мрежа опорави такмичи се са истим процесом коме покушава да помогне, и претвара поновљив проблем у повремен.

Треће: да ли апликација држи старо стање?

Отворите потпуно нову сесију ка истој дестинацији пре него што додирнете VPN. Ако нова сесија ради, а стара не, тунел је у реду и апликација држи мртву везу.

Ово је најјефтинија од три провере и најчешће прескочена, јер је прозор који отказује тачно на екрану. Затворите га, отворите поново и забележите да ли проблем остаје. Ако нова сесија ради, потпуно прекините истрагу тунела. Ако и она откаже, апликација је симптом, а не узрок.

Неке апликације се саме опораве после истека времена, зато симптом може да изгледа као да се сам поправио после неколико минута. То понашање указује на апликацију, а не на тунел, и вреди га забележити одвојено. Колега који каже да се једноставно само поправило описује овај образац, а не срећу.

Учините поређење поновљивим

Држите променљиве малим: једна приступна мрежа, једно трајање спавања и исти први захтев сваки пут. Затим забележите два резултата: да ли ручно поновно повезивање то поправља и да ли још једно спавање враћа отказ.

Управо последње запажање најпоузданије раздваја три кандидата. Нова сесија која ради после неуспеле старе није проблем тунела, и никаква поновна инсталација клијента то неће променити.

Стални keepalive WireGuard-а припада овој слици само као keepalive за NAT мапирање. Он шаље пакете да одржи мапирање отвореним; не спречава машину да заспи и не може да настави да шаље док је процес суспендован.

Запишите у тикету шта сте нашли: која је од три ствари била покварена, шта ју је поправило и како сте то поновили. Следећи човек који у понедељак отвори поклопац биће вам захвалан, и одговор неће морати поново да се открива од нуле.