на андроиде туннель умер — узнал через час

Держу WireGuard на UK, себе и двум телефонам дома. С ноутбука схема простая: есть интерфейс — трафик внутри, нет — никуда не идёт. С телефона вчера вышло иначе.

Переключился с вайфая на мобильную сеть. Иконка клиента осталась зелёной, сайты открывались как обычно. Через час открыл dnsleaktest — резолв своего оператора, не мой. Туннель к тому моменту уже лежал, клиент просто не переподключился. Kill switch в приложении был выключен. Я его даже не смотрел, думал туннель и так всегда на месте.

Сайты открывались. Это хуже обрыва. Трафик шёл мимо туннеля.

На винде с AllowedIPs 0.0.0.0/0 мне этого хватает. На андроиде без блокировки при обрыве зелёная иконка ничего не значит. И трафик, и dns уехали к оператору.

Сейчас на обоих телефонах включил блок без vpn, тест повторил — резолв уже свой. Кто раздаёт конфиг семье на мобильные и не смотрел утечку после смены сети — проверьте ipleak один раз. На айфоне клиент при переходе на LTE тоже молча умирает?

n1kita, у нас так же: UK, себе и ещё пара телефонов по агентству. kill switch я даже не открывал — иконка зелёная, сайты открываются, думал живой.

n1kita писал:
Сайты открывались. Это хуже обрыва. Трафик шёл мимо туннеля.

вот это и бесит. обрыв хотя бы видно сразу. а так человек час сидит «в туннеле», а dns уже у оператора. я после твоего поста пересел на мобильную, подождал минут десять, ipleak — резолв своего оператора, не сервер. стыдно, но хотя бы цифра есть, не «вроде всё ок».

на телефонах блок без vpn включил, повторный тест уже свой. на айфоне у жены отдельно гляну, в клиентах сам не шарю, только пользовать умею. если там тоже молча умирает — напиши, мне как раз семье раздавать.

кто конфиг на мобильные кидал и не смотрел утечку после смены сети — один раз проверьте. сайты открываются, и создаётся впечатление, что всё на месте. потом спрашивают, зачем мы туннель поднимали )

Добрый день, ruslan_krd.

ruslan_krd писал:
kill switch я даже не открывал — иконка зелёная, сайты открываются, думал живой.

У меня ровно так же. Туннель на телефоны настраивал племянник, я только смотрю, что значок зелёный, и спокойно переписываюсь. Что трафик при этом может идти мимо сервера — я даже не предполагал. А нам как раз документы с телефонов нельзя отдавать оператору, иначе зачем мы сервер брали.

Подскажите, пожалуйста, этот «блок без vpn» — это отдельная галочка в приложении на андроиде? Я сейчас попрошу младшего открыть и посмотреть, но сам боюсь не ту кнопку нажать.

И ещё уточню, чтобы коллегам объяснить. Если человек с офисного вайфая выходит на улицу и сеть меняется — туннель тоже может так молча отвалиться, а сайты при этом открываются как ни в чём не бывало? Тогда я хотя бы попрошу всех один раз проверить, как вы написали.

Спасибо, что написали про эту проверку. Без вашего поста я бы сам до этого не дошёл :)

igor_kzn, у нас та же история: телефоны, документы, зелёная иконка. в сам туннель я не лезу, только пользуюсь, так что без команд — куда нажать и что проверить.

igor_kzn писал:
этот «блок без vpn» — это отдельная галочка в приложении на андроиде?

да, отдельная. я сначала в клиенте искал и не сразу увидел. на андроиде это в настройках vpn телефона: вайргард в списке подключений, там «всегда включён» и рядом «блокировать подключения без vpn». нужна вторая. пусть племянник откроет, он быстрее найдёт. ключи и сервер не трогайте, только эту галочку.

igor_kzn писал:
с офисного вайфая выходит на улицу и сеть меняется

да, ровно этот случай. вышел с вайфая на мобильную — значок зелёный, сайты открываются, а резолв уже у оператора. обрыва на глаз нет, поэтому и хуже: человек думает, что в туннеле.

коллегам один раз скажите проверить уже с улицы, не из офиса. ipleak или dnsleaktest. если dns своего оператора, а не сервера — туннель не держит, хоть значок и горит. после галочки у меня повторный тест уже свой. пусть младший включит и все глянут с мобильной, тогда хотя бы цифра будет, не «вроде всё ок» ) если после галочки оператор всё равно вылезет — напишите, посмотрим по факту.

Добрый день, ruslan_krd.

Спасибо, что расписали без команд, куда именно нажать. Я как раз из тех, кто в сам туннель не лезет и смотрит только на значок.

ruslan_krd писал:
там «всегда включён» и рядом «блокировать подключения без vpn». нужна вторая.

Теперь хотя бы понятно, что искать. Сам открывать не буду — боюсь не ту кнопку нажать, как и писал. Попрошу племянника вечером, когда он будет свободен. Ключи и сервер не трогаем, только эту галочку, я ему так и перескажу.

ruslan_krd писал:
вышел с вайфая на мобильную — значок зелёный, сайты открываются, а резолв уже у оператора.

Это ровно наш случай, и теперь я понимаю, почему меня это так задело. У нас небольшая фирма в Казани, договоры и переписка по делам. В облачные сервисы это выгружать нельзя, это не паранойя, это требование. Сотрудников, кто ходит с телефонами и иногда отвечает клиенту уже с улицы, человек шесть. Люди выходят из офиса, сеть меняется с вайфая на мобильную — и до сегодняшнего дня я был уверен: зелёный значок значит, что всё идёт через наш сервер. Оказывается, значок сам по себе ничего не гарантирует.

Тогда час человек переписывается, сайты открываются, все спокойны, а переписка уже не у нас. Для нас это хуже обрыва. Обрыв хотя бы видно: не открылось — человек позвонит, спросит. А так никто даже не догадается, что туннель уже не работает.

Проверку, про которую вы написали, я сам делать не умею, но младшему объясню простыми словами: выйти из офиса на мобильную сеть, открыть ipleak или dnsleaktest, посмотреть, чей там адрес. Если своего оператора, а не нашего сервера — туннель не держит, хоть значок и горит. После галочки у вас повторный тест уже свой — вот этого нам и нужно.

Подскажите, пожалуйста, ещё один момент, чтобы я коллегам мог спокойно объяснить, зачем мы их просим эту галочку включить. Если её поставить, и туннель вдруг отвалится — у человека просто перестанет открываться интернет, пока снова не подключится? То есть он хотя бы поймёт, что что-то не так, а не будет час сидеть «как обычно»? Мне это важно сказать вслух, иначе снова будут смотреть на зелёный значок и считать, что всё в порядке.

n1kita, спасибо, что тему открыли. Без вашего поста я бы дальше смотрел на иконку и думал, что мы всё сделали правильно.

Напишу сюда, когда племянник включит и мы проверим уже с улицы, не из офиса. Если после галочки оператор всё равно вылезет — вернусь, как вы предложили.

Пока что даже стыдно чуть-чуть: сервер держим как раз ради того, чтобы переписка не уезжала на сторону, а проверять это после смены сети никому в голову не пришло. Хорошо, что вы оба написали, пока мы дальше так не ходили )

igor_kzn, вечер, сижу в Подольске, тред открыл с телефона. Дошёл до шести человек на улице — и уже тыкаю в калькулятор. Жена с кухни орёт, чего это я чужие договоры считаю ))

igor_kzn писал:
час человек переписывается, сайты открываются, все спокойны, а переписка уже не у нас.

Я в туннель не лезу, галочки не ищу, это племяннику. Мне другое. Сервер-то уже оплачен, хоть 13 баксов uab, хоть 23 heka. Зелёный значок в эту сумму не входит.

Если эти шестеро каждый день выходят из офиса, сколько таких часов в месяц набегает? Окей, а сколько это стоит относительно счёта за сервер? Я не про кнопку, я про строку в экселе.

Просто чтобы цифра была, не «вроде значок горит».

igor_kzn шестеро вышли из офиса с договорами. значок зелёный, резолв уже у оператора. блок без vpn у вас не галочка. иначе это не туннель, это декорация.

Добрый вечер, ruslan_krd.

Племянник зашёл после работы, я его сразу усадил на кухне. Чай даже не предложил — боялся, что он вспомнит свои дела, пока я подбираю слова, куда не нажимать. Сели с моим телефоном. Я сидел сбоку и смотрел, как на допрос свидетеля, только свидетель тут я, а в настройках ничего не понимаю. Юрист в меню телефона — зрелище не для слабонервных.

Он открыл то, что вы расписали: настройки vpn на телефоне, вайргард в списке, две строки рядом. «Всегда включён» уже стояло. Вторую — «блокировать подключения без vpn» — искал не сразу, я уже подумал, что мы снова не туда полезли. Нашёл, включил. Ключи и сервер не трогали, как вы и сказали. Он ещё начал про какие-то адреса, я его остановил. Мне это партнёру не объяснить. Мне нужно было одно: утекает или нет.

ruslan_krd писал:
если после галочки оператор всё равно вылезет — напишите

Написали. Он выключил вайфай, остались на мобильной. До галочки открыл проверку — говорит, резолв оператора, не наш сервер. Я цифр сам не читаю, но он ткнул в экран и повторил два раза, пока я не кивнул. После галочки — уже наш. Значок зелёный и был зелёным, сайты открывались и открываются. Разница в другом: теперь, если туннель ляжет, интернет на телефоне просто перестаёт идти. Я его ещё спросил: а если я сейчас сам выключу вайфай и открою почту — ничего не сломаю? Он посмотрел на меня как на ребёнка. Не сломаете, говорит, просто без туннеля почта не откроется. Вот этого я и хотел. Меня это успокоило сильнее, чем любой значок. Обрыв хотя бы видно, а час «в зелёном» без туннеля — как раз то, чего нам нельзя.

andryukha, калькулятор я понял, но у нас эта строка в экселе не складывается. Дело не в часах относительно счёта за сервер. Переписка по делам с телефона не должна уходить к оператору даже на двадцать минут. Если человек вышел из офиса и отвечал клиенту под зелёным значком, а трафик шёл мимо — для нас это уже не «вроде всё ок», это документ оказался не там. Коллегам буду говорить не про часы в месяц, а чтобы каждый один раз проверил с мобильной, как здесь написали.

n1kita, про декорацию дошло. Это не удобная галочка «на всякий случай». Без неё на телефоне туннель — картинка. Младшему завтра перескажу почти вашими словами, иначе он опять будет смотреть на значок и успокаиваться.

На остальных служебных телефонах пусть племянник пройдёт, пока не уехал. Сам открывать по-прежнему не буду.

Подскажите, пожалуйста, ещё вот что, чтобы я ему одно предложение передал, а не отправил гадать. У нас двое с айфонами. Им искать ту же логику, или там другое место? Не обязательно с картинками, хотя бы фразу, куда смотреть. Не хочу сказать «включите вторую галочку», если у них этой строки нет.

И ещё: проверку он сделал в квартире, просто выключив вайфай. Это тот же случай, что выход с офисного вайфая на улицу, или всё-таки попросить людей завтра спуститься и повторить уже у подъезда? Я лучше лишний раз попрошу, чем потом снова узнаю через час.

Спасибо, что расписали без команд. Без этого я бы так и сидел вечером и смотрел на зелёный значок :)

igor_kzn, час ночи, не сплю. модель на сервере дожёвывает pdf, а я с телефона читаю, как вы с племянником на кухне ловили эту галочку.

igor_kzn писал:
Значок зелёный и был зелёным, сайты открывались и открываются.

у меня в июле было то же, только без племянника. вышла из квартиры на мобильную, иконка горела, свой интерфейс открылся как ни в чём не бывало. через двадцать минут ткнула ipleak — резолв мегафона, не сервера. сидела на остановке и понимала, что час уже гоняла куски текста мимо туннеля )

галочку на своём вы поставили, в адреса не лезьте. но у вас человек шесть выходят из офиса. ваш телефон уже не врёт. остальные пять, пока значок просто зелёный, могут час переписываться как раньше.

короче, если совсем просто: коллегам тот же тест с улицы, не из вайфая. без блока без vpn туннель на андроиде делает вид, что живой. а на остальных уже глянули, или пока только ваш?

igor_kzn «всегда включён» уже стояло. dns всё равно уехал к оператору. я так ловил на своём — значок живой, сайты открываются, пока не ткнёшь проверку. блок закрыли на одном. остальные пять завтра снова с офиса на улицу.

igor_kzn галочку поймали. теперь если туннель ляжет — сайты не откроются. коллеги решат, что телефон сломался. не снимайте блок.

n1kita писал:
коллеги решат, что телефон сломался

Именно поэтому и предупредите. Иначе снимут сами, первым делом.

У меня бухгалтер на даче так «починил». Туннель лёг, 1С не открылась — и договоры снова мимо сервера. Шестерым вечером скажите: если сайты умерли, это туннель, в салон не звоните.

igor_kzn, утро, кофе в Подольске ещё горячий, тред открыл с телефона.

pavel_63 писал:
У меня бухгалтер на даче так «починил».

Предупредить шестерых — ноль рублей. Не предупредить — в смете уже не сервер, а шесть таких ремонтов. Окей, а у вас на фирме уже кто-то так чинил?

Племянник с утра кинул «галочку поставили, можно выдыхать». Жена уже ушла, я на кухне в Подольске, кофе остыл, а палец сам открыл калькулятор. Рефлекс, да ))

igor_kzn, не про настройки. Про то, что у тебя шестеро выходят с договорами, и час такого человека в счёт за сервер не кладётся.

pavel_63 писал:
если сайты умерли, это туннель, в салон не звоните.

Салон я в деньги и перевожу. Час-полтора, проезд, очередь «телефон сломался». Один из шести так съездит — и это уже рядом с uab за 13 баксов, иногда и с heka за 23. Час юриста на улице, пока договоры «как будто открываются», в оплату сервера не входит.

Окей, а сколько у вас час такого человека стоит относительно месяца сервера? Не «все спокойны». Цифра. Сам знаю, что сметами уже всех достал.

Приехал бухгалтер с папкой закрывающих. Говорю между делом: у нас тоже народ с телефонами на улице, туннель. Она сразу — это в счёт за сервер или отдельной строкой? Секунд десять стоял. Сам конфиги не пишу, а часы считать умею. Нарисовал на полях: зелёная иконка без галочки — как договор без печати. Цифру она схватила быстрее, чем я dns )

igor_kzn, племянник вам проверку закрыл. Дальше не ключи. Шестерым вечером одну фразу: если сайты умерли — ничего не снимать, писать вам. Час такого человека у нас в смете уже больше месяца uab. Один «телефон сломался» рядом с сервером, иногда и с heka. Мы с людьми поэтому говорим не про резолв, а про час.

Папку она всё равно открыла на сервер, не на туннель отдельно. Для неё одна строка, так проще. А у кого час уже в смету кладут, или пока только сервер считают?

n1kita, спасибо. Не снимаем, я записал себе.

ruslan_krd писал:
если сайты умерли — ничего не снимать, писать вам

После обеда короткое совещание, всех шестерых застану в одной комнате. Скажу им, пока сам не забыл. Племянник утром ещё раз глянул — стоит. Дальше в настройки сам не полезу )

igor_kzn, полночь. чайник щёлкнул, стояла босиком на кухне, тред открыла с телефона.

igor_kzn писал:
После обеда короткое совещание, всех шестерых застану в одной комнате.

я как-то двоим выдала одну фразу на обоих. кивнули. у одного айфон — там блок не в «всегда включён» системы, а kill switch в самом вайргарде. он «понял», к вечеру ушёл с зелёным значком и без блока. я потом полвечера смотрела в его телефон и поняла, что он честно ничего не снимал — просто смотрел не туда.

если у вас все на андроиде — одной фразы хватит. если смесь — покажите экран, иначе после обеда кивнут, а с улицы снова кто-то без туннеля.

а у шестерых уже ясно, кто на чём сидит?

masha_spb полночь босиком, я уже два. «понял» и зелёный без блока — ночь удалась )

Вчера «на пять минут» собрали троих, вышли через полчаса. Я сидел и считал, пока они ещё про иконку спрашивали.

igor_kzn, шестерых после обеда в одну комнату ради галочки. Короткое оно только в приглашении.

Окей, а почему не кинуть одно сообщение в общий чат? Комната на шестерых уже не бесплатная фраза)