VPN bị kẹt sau khi khởi động lại router: ba điều đã thay đổi

Router khởi động xong, laptop kết nối lại cùng một SSID, và VPN vẫn ở trạng thái đã kết nối mà không có gì chuyển động. Hồ sơ đã lưu vẫn nguyên vẹn. Thứ đã hết hạn bên dưới là đường đi, và máy khách vẫn giữ trạng thái mà nó dựng cho đường đi cũ.

Ba điều kiện quyết định cách sửa. Hãy kiểm tra theo thứ tự, vì những điều kiện sau là công vô ích nếu điều kiện đầu đã giải thích được tình trạng kẹt.

Điều kiện một: địa chỉ cục bộ đã thay đổi

Khởi động lại có thể cấp cho máy một địa chỉ khác. Khi đó VPN được cấu hình với điểm cuối cục bộ cố định vẫn tiếp tục dùng một liên kết không còn tồn tại. Điều tương tự áp dụng cho máy khách đã gắn ổ cắm của nó vào địa chỉ cũ. Giao diện đường hầm có thể vẫn ở trạng thái bật trong khi mọi gói tin nó tạo ra đi vào nơi vô ích.

So sánh địa chỉ mà máy khách đang dùng với địa chỉ mà giao diện hiện có. Tuyến mặc định trỏ tới một cổng vào cũng đã thay đổi chính là cùng một loại vấn đề dưới tên khác.

ip -4 addr show
ip route show default
ip route get 203.0.113.10

Điều kiện hai: ánh xạ đã dịch biến mất

Router gia đình dịch các luồng ra ngoài, và những ánh xạ đó sống trong bộ nhớ. Khởi động lại xóa sạch từng cái một. Điều đó vô hại với kết nối mới và chí mạng với đường hầm tin rằng luồng hiện có vẫn còn hiệu lực. Khi đó phía bên kia không thấy gì, nên máy khách không bao giờ nhận được lỗi để xử lý.

Đây chính là chỗ một đường hầm không có keepalive kẹt im lặng thay vì thất bại ồn ào. Các giới hạn được ghi chép của WireGuard mô tả đúng hình thái thất bại đó. Trạng thái điểm cuối sai tạo ra gói bị bỏ thay vì chẩn đoán.

Keepalive liên tục 25 giây là cách giảm thiểu thông thường, vì nó làm mới ánh xạ trước khi thời gian chờ nhàn rỗi hết hạn. Nó không sửa được ánh xạ đã mất. Hãy ghép keepalive với logic kết nối lại thay vì coi nó là cách sửa.

Điều kiện ba: địa chỉ công cộng đã thay đổi

Nếu địa chỉ bên ngoài của chính router đã thay đổi, mọi thứ ở phía bên kia lọc theo địa chỉ nguồn giờ thấy một đối tác khác. Đường hầm có thể lên nhưng máy chủ vẫn có thể bỏ lưu lượng, trông như máy khách hỏng và thực ra là chính sách ở đầu bên kia.

Ghi lại địa chỉ bên ngoài trước và sau khi khởi động lại. Khi hai địa chỉ khác nhau, câu hỏi chuyển từ máy khách sang người duy trì danh sách cho phép, và việc đặt lại thông tin đăng nhập trên laptop không thể giúp gì.

Khôi phục theo đúng thứ tự

Trước hết hoàn tất mọi bước đăng nhập cổng thu giữ bắt buộc, sau đó để máy khách kết nối lại theo thủ tục được hỗ trợ thay vì giết tiến trình. Quan sát xem cả danh tính và lưu lượng dữ liệu có trở lại không, vì đó là hai giai đoạn khác nhau của cùng một kết nối.

Một trang trong bộ nhớ đệm không chứng minh gì, và ứng dụng trò chuyện tự kết nối lại cũng vậy. Hãy kiểm tra điểm cuối mà bạn thực sự quan tâm bằng một yêu cầu mới. Giữ chính sách lưu lượng trực tiếp trong suốt thời gian gián đoạn, vì một lần thử kết nối lại không phải là chặn.

Khi điều này lặp lại sau mỗi lần khởi động lại, bản ghi quan trọng hơn lần thử mới. Ghi lại địa chỉ cục bộ, cổng vào, địa chỉ bên ngoài và trạng thái máy khách trước và sau, rồi so sánh hai cột. Điều đó biến một khiếu nại mơ hồ thành lỗi vòng đời mà ai đó có thể sửa, và ngăn việc chứng chỉ bị thay lần thứ ba vì thời gian chờ ánh xạ.