Јавна IP адреса се променила и VPN је престао да пропушта саобраћај

Поновно повезивање код добављача или промена у преводу узводно мења јавни извор VPN сесије, а локална приватна адреса клијента обично остаје тачно онаква каква је била. Тунел тада изгледа повезан, иако кроз њега не пролази ништа корисно. Оба запажања су истовремено тачна, и управо то чини извештај збуњујућим.

Прођите кроз четири провере по реду и зауставите се на првој која не успе.

Која адреса се заиста променила

Упоредите стање локалног интерфејса са извором који види удаљена крајња тачка, у тачки у којој имате овлашћење да гледате. Нова јавна адреса не значи нови локални гејтвеј, а промена локалног интерфејса такође не гарантује да се јавни извор померио. Превод између значи да су то две независне чињенице. Запишите тачну путању и време када сте је посматрали, јер геолокацијска ознака копирана из старог извештаја одговара на друго питање.

Питајте конкретно да ли се променио спољашњи извор, унутрашња адреса тунела или обоје. Само прво објашњава партнера који наставља да шаље на путању која више не постоји.

Нека протокол сам реши премештање

Протоколи се разликују по томе како сазнају да се партнер преместио, и та разлика је важна за питање да ли уопште треба да се умешате. WireGuard ажурира крајњу тачку партнера када прими пакет који се аутентификује кључем тог партнера, и зато промена адресе може да се прихвати без икакве конфигурације. IKEv2 има MOBIKE за исту сврху тамо где га подржавају оба краја. Старији дизајни се опорављају поновним грађењем тунела.

Оно што не би требало да радите јесте да прихватите неаутентификовану поруку као доказ да се идентитет партнера преместио. Тривијално је фалсификовати датаграм који тврди нову адресу, а клијент верује да може да се усмери на крајњу тачку нападача. Аутентификовани протокол је механизам; обавештење није.

wg show wg0 endpoints
wg show wg0 latest-handshakes
conntrack -L -p udp --dport 51820 | head -n 10

Очистите застарело спољашње повезивање

Када протокол подржава роаминг, а саобраћај ипак не пролази, препрека је често уређај који чува стање у средини или правило на далекој страни. Заштитни зид који је пратио стари ток може да задржи застарели унос, а серверско правило приступа везано за стари извор тихо ће одбацити нови. Чишћење мапирања и поновна провера правила су бржа од замене акредитива.

Задржите потребно блокирање на снази док истражујете. Широко отварање политике да бисте проверили да ли се тунел опоравља не учи вас ничему о узроку и оставља распоређивање горе него што сте га затекли.

Тестирајте поново новим захтевом

Сесија апликације успостављена пре промене је не преживљава, јер четворка на којој је изграђена више не постоји. Након опоравка генеришите нови захтев и потврдите да се завршава, уместо да гледате како старо преузимање стоји на нули и закључујете да је тунел и даље покварен. Управо та једна разлика решава велики део ових извештаја.

Затим запишите обе половине дијагнозе: шта се променило узводно и који подржани корак опоравка је вратио ток. Следећи случај ће бити бржи, а белешка је оно што га чини бржим.

Ако нови захтев успе, а стари се никада не настави, тунел је поправљен и апликација само треба поново да се повеже.