IP ya WAN ilibadilika na tuneli ikaanguka: ukaguzi kwa mpangilio

Tuneli huanguka, kipanga njia hurekodi muunganisho upya, na hakuna kitu kwenye LAN kilichosogea. Anwani mpya ya WAN hubatilisha muunganisho wa nje bila kubadilisha kitu chochote ndani: anwani ya chanzo ya mteja imebadilika, hali ya zamani ya NAT inaelekeza kwenye chanzo ambacho hakipo tena, na mwenza wa mbali anaweza kuwa bado anatuma kwa anwani iliyotangulia. Urejeshaji ni tabia ya kawaida, na swali la manufaa ni hali gani ilishindwa kusasishwa.

Taja tukio kabla ya kusoma kumbukumbu

Kagua kilichotokea kwa kweli katika tabaka la ufikiaji. Uhuishaji wa ukodishaji wa ISP ni tukio moja. Kipindi cha PPPoE kilichounganishwa upya ni kingine. Modemu ya nyuzi iliyowashwa upya, au uhamishaji wa WAN kutoka kiungo kimoja hadi kingine, hubadilisha anwani ya nje au njia yake kwa njia ya tatu. Hivi si tukio moja na haviachi mabaki sawa.

Mstari wa muunganisho upya kwenye kumbukumbu ya VPN pia si uthibitisho wa mabadiliko ya WAN. Muda wa kutokuwa na shughuli, muda wa uthibitishaji upya na utambuzi wa mwenza aliyekufa vyote huzalisha muunganisho upya bila mabadiliko yoyote ya anwani. Linganisha mihuri ya muda kutoka kumbukumbu ya ufikiaji na kumbukumbu ya VPN kabla ya kuhitimisha chochote, na uweke dirisha la ulinganishaji pana vya kutosha kunasa mabadiliko yaliyotokea usiku.

Roaming na muunganisho upya ni itifaki tofauti

WireGuard ina roaming iliyothibitishwa iliyojengwa ndani ya itifaki: mwenza anapopokea pakiti iliyothibitishwa ipasavyo kutoka anwani mpya ya chanzo, husasisha sehemu ya mwisho ya mwenza huyo. Mwongozo wa haraka wa WireGuard unaeleza usanidi wa mwenza unaowezesha hili, ndiyo sababu mteja aliye kwenye anwani inayobadilika mara nyingi hupona bila kuwasha upya kunaoonekana.

OpenVPN hujiendesha tofauti kwa chaguo-msingi. Kipindi cha UDP kinaweza kuisha na kuunganishwa upya, na tabia ya hiari ya float huruhusu mwenza aliyethibitishwa kuendelea kutoka anwani mpya pale usanidi unaruhusu. Tuneli zinazotegemea TCP ni kali zaidi, kwa sababu muunganisho wenyewe umefungwa kwa jozi ya anwani. Tofauti hiyo huamua kama urejeshaji unaonekana usioonekana au unajitangaza kwenye kumbukumbu kila wakati.

Wala tabia moja haisemi chochote kuhusu programu za ndani. Tuneli iliyorejeshwa hairejeshi kipindi cha TCP ambacho mwenza alikuwa amekiona kuwa kimekufa.

Hali ambayo tuneli haimiliki

Hali ya tafsiri na uelekezaji huishi baada ya muunganisho upya kwa njia zinazowashangaza watu. Ingizo la conntrack lililoundwa kwa chanzo cha zamani hushikilia njia ya jibu imefungwa kwa anwani ambayo haipo tena, na huisha kwa ratiba yake yenyewe, si wakati tuneli iliporudi. Kuwasha upya huduma ya tuneli hakufupishi kusubiri huko, kwa hiyo kiungo kilichotengenezwa kinaweza kuonekana bado kimevunjika kwa muda.

Njia na kanuni za sera zinaweza kurejelea lango au kiolesura cha zamani. Seti ya kanuni iliyokuwa sahihi kabla ya mabadiliko ya WAN inaweza kuelekeza kwenye kifaa ambacho sasa kimezimwa, jambo ambalo huzalisha tuneli inayoripoti kuwa imeunganishwa na trafiki isiyokwenda mahali popote. DNS inayobadilika kwa seva unayoihifadhi ni tatizo tofauti na la mteja anayepata chanzo kipya. Rekodi inahitaji kusasishwa ili wateja wa mbali wakupate, na hakuna usanidi wa upande wa mteja unaofidia anwani ambayo tafsiri ya juu haitapitisha.

Panga ukaguzi kutoka nje kuelekea ndani

Mpangilio ulio hapa chini unaenda kutoka muunganisho wa nje kuelekea ndani, na kusimama katika hatua ya kwanza inayoshindwa ndiko kunakoufanya kuwa wa manufaa: kila ukaguzi huondoa tabaka lililo juu yake. Shikilia mpangilio huo hata pale hitilafu inapoonekana wazi.

wg show
ip -br addr show
ip route get 198.51.100.7
conntrack -L 2>/dev/null | grep -c ESTABLISHED
journalctl -u openvpn-client@home --since '-2 hours' | tail -n 40

Amri ya kwanza inaonyesha sehemu ya mwisho ya sasa na umri wa kupeana mikono kwa kila mwenza. Ya pili na ya tatu zinaonyesha kama kiolesura cha nje na njia kuelekea sehemu ya mwisho bado zina maana. Idadi ya conntrack ni ukaguzi mbaya wa hali iliyobaki kutoka anwani iliyotangulia, na jarida ni mahali panaporekodiwa sababu ya muunganisho upya.

Kisha jaribu kutoka kwa mteja wa LAN badala ya kutoka kwa kipanga njia. Ping iliyotumwa na kipanga njia yenyewe hutumia njia tofauti na trafiki inayosambazwa, kwa hiyo ping iliyofanikiwa kutoka kwa kipanga njia inathibitisha tuneli ipo na haisemi chochote kuhusu ufikikaji wa mteja.

Amua tabia inayotarajiwa na uiandike

Kuunganisha upya ni tabia sahihi kwa usambazaji mwingi, kwa hiyo lengo si kuizuia. Badala yake amua kile kinachopaswa kutokea kwa trafiki wakati wa pengo: kuizuia, kuishikilia, au kuhamia njia nyingine. Uamuzi huo ni wa firewall na sera ya uelekezaji, si wa wasifu wa VPN.

Rekodi matukio ya ufikiaji na nyakati za muunganisho upya pamoja kwa wiki moja. Mabadiliko yanayorudiwa bila tukio la ufikiaji linalolingana yanaelekeza kwenye huduma ya ufikiaji, na kubadilisha wasifu wa VPN hakutatengeneza kiungo kinachoendelea kujadiliana upya. Jozi moja ya maingizo katika dakika moja hutatua swali la tukio hilo na kuipa linalofuata msingi.