WAN IP değişti ve tünel düştü: kontroller sırayla

Tünel düşer, yönlendirici bir yeniden bağlanma kaydeder ve LAN'da hiçbir şey hareket etmemiştir. Yeni bir WAN adresi, içeride hiçbir şeyi değiştirmeden dış bağlantıyı geçersiz kılar: istemcinin kaynak adresi değişti, eski NAT durumu artık var olmayan bir kaynağı gösteriyor ve uzak eş hâlâ önceki adrese gönderiyor olabilir. Kurtarma normal bir davranıştır ve faydalı soru hangi durumun güncellenmediğidir.

Günlüğü okumadan önce olayı adlandırın

Erişim katmanında gerçekte ne olduğunu kontrol edin. Sağlayıcıdan gelen kira yenilemesi bir olaydır. Yeniden bağlanan bir PPPoE oturumu başka bir olaydır. Yeniden başlatılan fiber modem veya bir bağlantıdan diğerine WAN geçişi, dış adresi ya da yolunu üçüncü bir şekilde değiştirir. Bunlar aynı olay değildir ve aynı kalıntıyı bırakmazlar.

VPN günlüğündeki yeniden bağlanma satırı da bir WAN değişikliğinin kanıtı değildir. Boşta kalma zaman aşımı, yeniden kimlik doğrulama aralığı ve ölü eş algılama hepsi adres değişikliği olmadan yeniden bağlanmalar üretir. Bir sonuca varmadan önce erişim günlüğündeki zaman damgalarını VPN günlüğüyle karşılaştırın ve karşılaştırma penceresini gece boyunca olan bir değişikliği yakalayacak kadar geniş tutun.

Dolaşım ve yeniden bağlanma farklı protokollerdir

WireGuard protokole gömülü kimlik doğrulamalı dolaşıma sahiptir: bir eş yeni kaynak adresinden doğru kimlik doğrulanmış bir paket aldığında, o eşin uç noktasını günceller. WireGuard hızlı başlangıcı bunu mümkün kılan eş yapılandırmasını açıklar, bu yüzden değişen bir adresteki istemci genellikle görünür bir yeniden başlatma olmadan kurtulur.

OpenVPN varsayılan olarak farklı davranır. Bir UDP oturumu sona erip yeniden bağlanabilir ve isteğe bağlı float davranışı, kimlik doğrulanmış bir eşin yapılandırmanın izin verdiği yerde yeni bir adresten devam etmesini sağlar. TCP tabanlı tüneller daha katıdır çünkü bağlantının kendisi adres çiftine bağlıdır. Bu fark, kurtarmanın görünmez mi görüneceğine yoksa her seferinde günlükte kendini mi duyuracağına karar verir.

İki davranıştan hiçbiri içerideki uygulamalar hakkında bir şey söylemez. Kurtarılan bir tünel, eşin zaten ölü saydığı bir TCP oturumunu geri getirmez.

Tünelin sahip olmadığı durum

Çeviri ve yönlendirme durumu, yeniden bağlanmayı insanları şaşırtan şekillerde atlatır. Eski kaynak için oluşturulan bir conntrack girdisi, yanıt yolunu artık var olmayan bir adrese sabitlenmiş tutar ve tünel geri geldiğinde değil, kendi zamanlamasına göre sona erer. Tünel hizmetini yeniden başlatmak bu beklemeyi kısaltmaz, bu yüzden onarılmış bir bağlantı bir süre daha bozuk görünebilir.

Yollar ve ilke kuralları eski ağ geçidine veya arayüze başvurabilir. Bir WAN değişikliğinden önce doğru olan bir kural kümesi, artık kapalı olan bir cihazı gösterebilir; bu da bağlı olduğunu bildiren bir tünel ve hiçbir yere gitmeyen trafik üretir. Barındırdığınız bir sunucu için dinamik DNS, yeni bir kaynak edinen istemciden ayrı bir sorundur. Kaydın, uzak istemcilerin sizi bulması için güncellenmesi gerekir ve istemci tarafındaki hiçbir yapılandırma, üst akıştaki çevirinin iletmeyeceği bir adresi telafi etmez.

Kontrolleri dışarıdan içeriye doğru sıralayın

Aşağıdaki sıra dış bağlantıdan içeriye doğru gider ve ilk başarısız adımda durmak onu faydalı kılan şeydir: her kontrol üstündeki katmanı dışlar. Arıza apaçık görünse bile bu sırayı koruyun.

wg show
ip -br addr show
ip route get 198.51.100.7
conntrack -L 2>/dev/null | grep -c ESTABLISHED
journalctl -u openvpn-client@home --since '-2 hours' | tail -n 40

İlk komut her eş için geçerli uç noktayı ve el sıkışma yaşını gösterir. İkinci ve üçüncü, dış arayüzün ve uç noktaya giden yolun hâlâ anlamlı olup olmadığını gösterir. conntrack sayısı önceki adresten kalan durum için kaba bir kontroldür ve günlük, yeniden bağlanma nedeninin kaydedildiği yerdir.

Ardından yönlendiriciden değil, bir LAN istemcisinden test edin. Yönlendiricinin kendisi tarafından gönderilen ping, iletilen trafikten farklı bir yol kullanır, bu yüzden yönlendiriciden başarılı bir ping tünelin var olduğunu kanıtlar ve istemcinin erişilebilirliği hakkında hiçbir şey söylemez.

Beklenen davranışa karar verin ve yazın

Yeniden bağlanma çoğu dağıtım için doğru davranıştır, bu yüzden amaç onu engellemek değildir. Bunun yerine boşluk sırasında trafiğe ne olması gerektiğine karar verin: durdurmak, tutmak veya başka bir yola geçmek. Bu karar güvenlik duvarına ve yönlendirme ilkesine aittir, VPN profiline değil.

Erişim olaylarını ve yeniden bağlanma saatlerini bir hafta boyunca birlikte kaydedin. Eşleşen bir erişim olayı olmadan tekrarlanan değişiklikler erişim hizmetine işaret eder ve VPN profilini değiştirmek sürekli yeniden pazarlık eden bir bağlantıyı düzeltmez. Aynı dakikadaki tek bir girdi çifti o olay için soruyu çözer ve bir sonrakine bir başlangıç çizgisi verir.