Nagbago ang pampublikong IP at tumigil ang VPN sa pagpapadala ng trapiko

Ang muling pagkonekta ng provider o pagbabago sa pagsasalin sa itaas ng daloy ay nagbabago sa pampublikong pinagmulan ng isang sesyon ng VPN, habang ang lokal na pribadong address ng kliyente ay karaniwang nananatiling eksaktong gaya ng dati. Mukha tuloy konektado ang tunnel pero walang kapaki-pakinabang na dumadaan dito. Pareho ang dalawang obserbasyon at totoo nang sabay, at iyon ang dahilan kung bakit nakakalito ang ulat.

Daanan ang apat na pagsusuri nang sunod-sunod at huminto sa unang mabibigo.

Aling address ang talagang nagbago

Ihambing ang kalagayan ng lokal na interface sa pinagmulang nakikita ng malayong dulo, sa puntong pinapayagan kang tumingin. Ang bagong pampublikong address ay hindi nangangahulugang bagong lokal na gateway, at ang pagbabago ng lokal na interface ay hindi rin garantiya na gumalaw ang pampublikong pinagmulan. Ang pagsasalin sa gitna ay nangangahulugang dalawang magkahiwalay na katotohanan ito. Itala ang eksaktong landas at ang oras na naobserbahan mo ito, dahil ang label ng lokasyon na kinopya mula sa lumang ulat ay sumasagot sa ibang tanong.

Itanong nang tiyak kung nagbago ang panlabas na pinagmulan, ang panloob na address ng tunnel, o pareho. Ang una lang ang nagpapaliwanag ng kaparehang patuloy na nagpapadala sa landas na wala nang umiiral.

Hayaang ang protocol ang humawak ng paglipat

Nagkakaiba ang mga protocol sa paraan ng pag-alam na lumipat ang isang kapareha, at mahalaga ang pagkakaibang ito sa tanong kung dapat ka bang mamagitan. Ina-update ng WireGuard ang dulo ng isang kapareha kapag nakatanggap ito ng packet na naawtentika gamit ang susi ng kaparehang iyon, kaya’t ang pagbabago ng address ay masisipsip nang walang anumang konfigurasyon. May MOBIKE ang IKEv2 para sa parehong layunin kung saan sinusuportahan ito ng dalawang dulo. Ang mas lumang disenyo ay gumagaling sa pamamagitan ng muling pagbuo ng tunnel.

Ang hindi mo dapat gawin ay tanggapin ang isang hindi awtentikadong mensahe bilang patunay na lumipat ang pagkakakilanlan ng isang kapareha. Madaling gumawa ng pekeng datagram na nagsasabing may bagong address, at ang kliyente ay naniniwalang maaari itong ituro sa dulo ng umaatake. Ang awtentikadong protocol ang mekanismo; ang abiso ay hindi.

wg show wg0 endpoints
wg show wg0 latest-handshakes
conntrack -L -p udp --dport 51820 | head -n 10

Linisin ang lumang panlabas na pagkakabit

Kapag sinusuportahan ng protocol ang roaming pero nabibigo pa rin ang trapiko, ang hadlang ay kadalasang kagamitang nag-iimbak ng estado sa gitna o patakaran sa malayong dulo. Ang firewall na sumubaybay sa lumang daloy ay maaaring magpanatili ng lumang entry, at ang tuntunin sa pag-access sa panig ng server na nakatali sa lumang pinagmulan ay tahimik na itatapon ang bago. Ang paglilinis ng mapping at muling pagsusuri ng tuntunin ay mas mabilis kaysa sa pagpapalit ng mga kredensyal.

Panatilihin ang kinakailangang pagharang habang nagsisiyasat. Ang buksan nang malawak ang patakaran para subukan kung gumagaling ang tunnel ay walang itinuturo tungkol sa sanhi at iniiwan ang deployment na mas masama kaysa sa natagpuan mo.

Subukan muli gamit ang bagong kahilingan

Ang sesyon ng aplikasyon na itinatag bago ang pagbabago ay hindi ito nakakaligtas, dahil ang apat-na-bahaging tinutuntungan nito ay wala na. Gumawa ng bagong kahilingan pagkatapos ng pagbawi at tiyakin na nakukumpleto ito, sa halip na panoorin ang lumang download na nakatigil sa zero at magpasya na sira pa rin ang tunnel. Ang nag-iisang pagkakaibang iyon ang lumulutas sa malaking bahagi ng mga ulat na ito.

Itala rin ang dalawang kalahati ng diyagnosis: ano ang nagbago sa itaas, at aling sinusuportahang hakbang sa pagbawi ang nagbalik ng daloy. Mas mabilis ang susunod na pagkakataon, at ang tala ang dahilan kung bakit mas mabilis.

Kung magtagumpay ang bagong kahilingan at hindi na muling magsimula ang luma, naayos na ang tunnel at kailangan lang muling kumonekta ng aplikasyon.