Genel IP değişti ve VPN trafiği geçirmeyi durdurdu

Sağlayıcıdaki yeniden bağlanma veya yukarı yöndeki çeviride bir değişiklik, bir VPN oturumunun genel kaynağını değiştirir; istemcinin yerel özel adresi ise genellikle tam olarak olduğu gibi kalır. Tünel o zaman bağlı görünür ama içinden yararlı hiçbir şey geçmez. Her iki gözlem aynı anda doğrudur ve raporu kafa karıştırıcı yapan da tam olarak budur.

Dört kontrolü sırayla yapın ve ilk başarısız olanda durun.

Hangi adres gerçekten değişti

Yerel arayüzün durumunu, uzak uç noktanın gördüğü kaynakla, bakmaya yetkiniz olan bir noktada karşılaştırın. Yeni bir genel adres yeni bir yerel ağ geçidi anlamına gelmez; yerel arayüz değişikliği de genel kaynağın taşındığını garanti etmez. Aradaki çeviri, bunların iki bağımsız olgu olduğu anlamına gelir. Tam yolu ve gözlemlediğiniz zamanı kaydedin, çünkü eski bir rapordan kopyalanan konum etiketi başka bir soruyu yanıtlar.

Dış kaynağın mı, iç tünel adresinin mi, yoksa ikisinin de mi değiştiğini özellikle sorun. Artık var olmayan bir yola göndermeye devam eden bir eşi yalnızca ilki açıklar.

Taşınmayı protokole bırakın

Protokoller bir eşin taşındığını öğrenme biçimlerinde farklılık gösterir, ve bu fark, müdahale edip etmemeniz gerektiği sorusu için önemlidir. WireGuard, o eşin anahtarıyla kimliği doğrulanan bir paket aldığında eşin uç noktasını günceller; bu yüzden adres değişikliği herhangi bir yapılandırma olmadan soğurulabilir. IKEv2’de aynı amaç için, iki uç da destekliyorsa MOBIKE vardır. Daha eski tasarımlar ise tüneli yeniden kurarak toparlanır.

Yapmamanız gereken şey, kimliği doğrulanmamış bir mesajı bir eşin kimliğinin taşındığının kanıtı olarak kabul etmektir. Yeni bir adres iddia eden bir datagramı sahtelemek önemsizdir ve istemci saldırganın uç noktasına yönlendirilebileceğine inanır. Kimliği doğrulanmış protokol mekanizmadır; bildirim değildir.

wg show wg0 endpoints
wg show wg0 latest-handshakes
conntrack -L -p udp --dport 51820 | head -n 10

Eski dış bağlamayı temizleyin

Protokol dolaşımı destekliyor ama trafik yine de geçmiyorsa, engel çoğu zaman ortadaki durum tutan cihazdır ya da uzak uçtaki bir ilkedir. Eski akışı izleyen bir güvenlik duvarı eski kaydı tutabilir ve sunucu tarafındaki eski kaynağa bağlı erişim kuralı yenisini sessizce düşürür. Eşlemeyi temizleyip kuralı yeniden denetlemek kimlik bilgilerini değiştirmekten daha hızlıdır.

İnceleme sırasında gereken engellemeyi yürürlükte tutun. Tünelin toparlanıp toparlanmadığını sınamak için ilkeyi ardına kadar açmak size neden hakkında hiçbir şey öğretmez ve kurulumu bulduğunuzdan daha kötü bırakır.

Yeni bir istekle yeniden sınayın

Değişiklikten önce kurulmuş bir uygulama oturumu bunu atlatamaz, çünkü üzerine kurulduğu dörtlü artık yoktur. Toparlanmadan sonra yeni bir istek üretin ve tamamlandığını doğrulayın; eski bir indirmenin sıfırda durmasını izleyip tünelin hâlâ bozuk olduğu sonucuna varmayın. Tam olarak bu tek ayrım, bu raporların büyük bir kısmını çözer.

Sonra tanının iki yarısını da kaydedin: yukarı yönde ne değişti ve hangi desteklenen toparlanma adımı akışı geri getirdi. Bir sonraki sefer daha hızlı olacak ve onu hızlı yapan şey bu nottur.

Yeni bir istek başarılı olur ve eskisi asla yeniden başlamazsa, tünel onarılmıştır ve uygulamanın yalnızca yeniden bağlanması gerekir.