WAN IP o'zgardi va tunnel uzildi: tekshiruvlar tartib bilan

Tunnel uziladi, router qayta ulanishni qayd etadi va LANda hech narsa qimirlamagan. Yangi WAN manzili ichkarida hech narsani o'zgartirmasdan tashqi ulanishni bekor qiladi: mijozning manba manzili o'zgardi, eski NAT holati endi mavjud bo'lmagan manbaga ishora qiladi va uzoq hamkasb hali ham oldingi manzilga yuborayotgan bo'lishi mumkin. Tiklanish odatiy xatti-harakat, va foydali savol qaysi holat yangilanmaganligidir.

Jurnalni o'qishdan oldin hodisaga nom bering

Kirish qatlamida aslida nima bo'lganini tekshiring. Provayder ijara shartnomasini yangilash — bir hodisa. Qayta ulangan PPPoE sessiyasi — boshqa hodisa. Qayta ishga tushirilgan optik modem yoki bir kanaldan ikkinchisiga WAN o'tishi tashqi manzilni yoki uning yo'lini uchinchi usulda o'zgartiradi. Bular bir xil hodisa emas va bir xil qoldiq qoldirmaydi.

VPN jurnalida qayta ulanish satri ham WAN o'zgarishining dalili emas. Bo'sh turish taymauti, qayta autentifikatsiya oralig'i va o'lik hamkasbni aniqlash — barchasi manzil o'zgarishisiz qayta ulanishlar hosil qiladi. Biror xulosa chiqarishdan oldin kirish jurnali vaqt belgilarini VPN jurnali bilan solishtiring va taqqoslash oynasini tunda bo'lgan o'zgarishni ham ushlaydigan darajada keng tuting.

Rouming va qayta ulanish turli protokollardir

WireGuard protokolga autentifikatsiyalangan roumingni o'rnatgan: hamkasb yangi manba manzilidan to'g'ri autentifikatsiyalangan paketni olganda, u shu hamkasbning oxirgi nuqtasini yangilaydi. WireGuard tezkor boshlanishi buni mumkin qiladigan hamkasb konfiguratsiyasini tavsiflaydi, shuning uchun o'zgaruvchan manzildagi mijoz ko'pincha ko'rinadigan qayta ishga tushirishsiz tiklanadi.

OpenVPN odatiy holatda boshqacha ishlaydi. UDP sessiyasi tugab, qayta ulanishi mumkin, ixtiyoriy float xatti-harakati esa autentifikatsiyalangan hamkasbga konfiguratsiya ruxsat bergan joyda yangi manzildan davom etishga imkon beradi. TCP asosidagi tunnellar qattiqroq, chunki ulanishning o'zi manzillar juftiga bog'langan. Shu farq tiklanish ko'rinmas ko'rinishini yoki har safar jurnalda o'zini e'lon qilishini hal qiladi.

Ikkala xatti-harakat ham ichkaridagi ilovalar haqida hech narsa demaydi. Tikalangan tunnel hamkasb allaqachon o'lik deb hisoblagan TCP sessiyasini tiklamaydi.

Tunnel egalik qilmaydigan holat

Tarjima va marshrutlash holati qayta ulanishdan odamlarni hayratga soladigan usullar bilan omon qoladi. Eski manba uchun yaratilgan conntrack yozuvi javob yo'lini endi mavjud bo'lmagan manzilga bog'lab turadi va u tunnel qaytgan paytda emas, o'z jadvali bo'yicha tugaydi. Tunnel xizmatini qayta ishga tushirish bu kutishni qisqartirmaydi, shuning uchun tuzatilgan aloqa bir muddat hali ham buzilgan ko'rinishi mumkin.

Marshrutlar va siyosat qoidalari eski shlyuz yoki interfeysga havola qilishi mumkin. WAN o'zgarishidan oldin to'g'ri bo'lgan qoidalar to'plami endi o'chirilgan qurilmaga ishora qilishi mumkin, bu esa ulangan deb hisobot beradigan tunnel va hech qayerga ketmaydigan trafikni keltirib chiqaradi. Siz joylashtirgan server uchun dinamik DNS yangi manba oladigan mijozdan alohida muammo. Yozuvni yangilash kerak, shunda uzoq mijozlar sizni topadi, va mijoz tomonidagi hech qanday konfiguratsiya yuqori oqimdagi tarjima o'tkazmaydigan manzilni qoplamaydi.

Tekshiruvlarni tashqaridan ichkariga tartibga soling

Quyidagi tartib tashqi ulanishdan ichkariga boradi va birinchi muvaffaqiyatsiz qadamda to'xtash uni foydali qiladi: har bir tekshiruv o'z ustidagi qatlamni istisno qiladi. Nosozlik ayon ko'rinsa ham bu tartibni saqlang.

wg show
ip -br addr show
ip route get 198.51.100.7
conntrack -L 2>/dev/null | grep -c ESTABLISHED
journalctl -u openvpn-client@home --since '-2 hours' | tail -n 40

Birinchi buyruq har bir hamkasb uchun joriy oxirgi nuqta va qo'l berib ko'rishish yoshini ko'rsatadi. Ikkinchi va uchinchi tashqi interfeys va oxirgi nuqtaga marshrut hali mantiqiy ekanini ko'rsatadi. conntrack soni oldingi manzildan qolgan holat uchun qo'pol tekshiruv, jurnal esa qayta ulanish sababi yoziladigan joy.

So'ng routerdan emas, LAN mijozi tomonidan sinab ko'ring. Routerning o'zi yuborgan ping uzatilgan trafikdan boshqa yo'lni ishlatadi, shuning uchun routerdan muvaffaqiyatli ping tunnel mavjudligini isbotlaydi va mijozning yetib borishi haqida hech narsa demaydi.

Kutilayotgan xatti-harakatni belgilang va yozib qo'ying

Qayta ulanish ko'plab joylashtirishlar uchun to'g'ri xatti-harakat, shuning uchun maqsad uni oldini olish emas. O'rniga uzilish vaqtida trafik bilan nima bo'lishini hal qiling: to'xtatish, ushlab turish yoki boshqa yo'lga o'tish. Bu qaror xavfsizlik devori va marshrutlash siyosatiga tegishli, VPN profiliga emas.

Kirish hodisalari va qayta ulanish vaqtlarini bir hafta davomida birga yozib boring. Mos keladigan kirish hodisasiz takrorlanadigan o'zgarishlar kirish xizmatiga ishora qiladi va VPN profilini almashtirish doim qayta muzokara qiladigan kanalni tuzatmaydi. Xuddi shu daqiqadagi bitta juft yozuv o'sha hodisa uchun savolni hal qiladi va keyingisiga boshlang'ich chiziq beradi.