Ommaviy IP o‘zgardi va VPN trafikni o‘tkazishni to‘xtatdi

Provayderda qayta ulanish yoki yuqori bo‘g‘indagi tarjimadagi o‘zgarish VPN seansining ommaviy manbasini o‘zgartiradi, mijozning mahalliy xususiy manzili esa odatda avvalgidek qoladi. Shunda tunnel ulangandek ko‘rinadi, lekin undan hech qanday foydali narsa o‘tmaydi. Ikkala kuzatuv ham bir vaqtda to‘g‘ri, va aynan shu hisobotni chalkashtiradi.

To‘rtta tekshiruvni tartib bilan bajaring va birinchi muvaffaqiyatsiz bo‘lganida to‘xtang.

Aslida qaysi manzil o‘zgardi

Mahalliy interfeys holatini uzoq uch ko‘radigan manba bilan solishtiring, ko‘rishga ruxsatingiz bor joyda. Yangi ommaviy manzil yangi mahalliy shlyuz degani emas, mahalliy interfeys o‘zgarishi ham ommaviy manba siljiganiga kafolat bermaydi. O‘rtadagi tarjima bu ikki mustaqil fakt ekanini bildiradi. Aniq yo‘lni va uni kuzatgan vaqtingizni yozib qo‘ying, chunki eski hisobotdan ko‘chirilgan geolokatsiya yorlig‘i boshqa savolga javob beradi.

Tashqi manba o‘zdimi, ichki tunnel manzili o‘zdimi yoki ikkalasi ham — aniq so‘rang. Faqat birinchisi endi mavjud bo‘lmagan yo‘lga yuborishda davom etayotgan hamkorni tushuntiradi.

Siljishni protokolning o‘zi boshqarsin

Protokollar hamkor siljiganini bilish usuli bilan farq qiladi, va bu farq umuman aralashish kerakmi degan savol uchun muhim. WireGuard hamkorning kaliti bilan autentifikatsiyalangan paketni olganida uning oxirgi nuqtasini yangilaydi, shuning uchun manzil o‘zgarishi hech qanday konfiguratsiyasiz qabul qilinishi mumkin. IKEv2da xuddi shu maqsad uchun MOBIKE bor, agar ikkala tomon uni qo‘llab-quvvatlasa. Eski dizaynlar tunnelni qayta qurish bilan tiklanadi.

Qilmasligingiz kerak bo‘lgan narsa — autentifikatsiyalanmagan xabarni hamkorning shaxsi siljiganiga dalil sifatida qabul qilish. Yangi manzilni da’vo qiluvchi datagramni soxtalashtirish juda oson, mijoz esa uni hujumchining oxirgi nuqtasiga yo‘naltirish mumkinligiga ishonadi. Autentifikatsiyalangan protokol — bu mexanizm; bildirishnoma esa emas.

wg show wg0 endpoints
wg show wg0 latest-handshakes
conntrack -L -p udp --dport 51820 | head -n 10

Eskirgan tashqi bog‘lanishni tozalang

Protokol roumingni qo‘llab-quvvatlasa-yu, trafik baribir o‘tmasa, to‘siq ko‘pincha o‘rtadagi holatni saqlovchi qurilma bo‘ladi yoki uzoq tomondagi siyosat. Eski oqimni kuzatgan tarmoq devori eskirgan yozuvni saqlab qolishi mumkin, eski manbaga bog‘langan server tomonidagi kirish qoidasi esa yangisini jimgina tashlab yuboradi. Xaritalashni tozalab, qoidani qayta tekshirish hisob ma’lumotlarini almashtirishdan tezroq.

Tekshiruv davomida zarur bloklashni kuchda saqlang. Tunnel tiklanadimi-yo‘qmi sinash uchun siyosatni keng ochish sabab haqida hech narsa o‘rgatmaydi va joriy etishni topganingizdan ham yomonroq qoldiradi.

Yangi so‘rov bilan qayta sinang

O‘zgarishdan oldin o‘rnatilgan ilova seansi uni o‘tkazmaydi, chunki u asoslangan to‘rtlik endi mavjud emas. Tiklanishdan keyin yangi so‘rov yarating va uning yakunlanishini tasdiqlang; eski yuklab olishning nolda turishini ko‘rib, tunnel hali ham buzilgan deb xulosa qilmang. Aynan shu bitta farq bunday hisobotlarning katta qismini hal qiladi.

So‘ngra diagnostikaning ikkala yarmini yozib qo‘ying: yuqorida nima o‘zgardi va qaysi qo‘llab-quvvatlanadigan tiklash qadami oqimni qaytardi. Keyingi holat tezroq bo‘ladi, va yozuv uni tezroq qiladigan narsadir.

Agar yangi so‘rov muvaffaqiyatli bo‘lib, eskisi hech qachon qayta boshlanmasa, tunnel tuzatilgan va ilova faqat qayta ulanishi kerak.