VPN на роўтары выглядае спраўна пасля адключэння? Праверце гэтыя чатыры ўзроўні

Роўтар, які загараецца пасля адключэння, аднавіў сваю канфігурацыю, а не злучэнне. Пасля адключэння электрычнасці роўтар можа аднавіць захаваны профіль VPN, перш чым будуць гатовыя залежнасці, патрэбныя гэтаму профілю: мадэм вышэй па ланцугу можа яшчэ знаходзіцца ў стадыі трэніроўкі, гадзіннік можа быць няправільным, а аўтэнтыфікацыя можа не завяршыцца. Індыкатар на панэлі і захаваная канфігурацыя апісваюць намер, а не працуючы тунель. Праверце чатыры ўзроўні ніжэй па парадку, а не замяняйце профіль — менавіта гэта людзі робяць другім і шкадуюць першым.

Усё тут мяркуе, што вы на месцы або маеце шлях унутр, які не залежыць ад тунеля, які вы тэстуеце. Калі не, арганізуйце гэта да наступнага адключэння.

Першы ўзровень: ці сапраўды вярнуўся WAN

Пачніце з мадэма, а не з панэлі роўтара. Роўтар, які завяршае загрузку раней, чым яго мадэм пратрэніраваўся, паказвае здаровы інтэрфейс, за якім нічога няма, і тунелю няма з кім злучацца. Пераканайцеся, што мадэм сапраўды перасылае, затым пераканайцеся, што роўтар атрымаў чаканыя налады WAN. Праверце таксама, ці змяніўся адрас WAN: дынамічны адрас, які вяртаецца іншым, можа зрабіць несапраўдным правіла на аснове адраса або выдалены спіс дазволаў, і знутры сеткі гэта выглядае як збой VPN.

Некаторыя сеткі доступу патрабуюць таксама новага кроку допуску пасля адключэння. Чытайце журнал кліента, каб знайсці першую стадыю збою, замест здагадак: першая памылка называе ўзровень, а ўсё пасля яе — наступства. Запішыце адрас і вынік допуску ў заяўку, бо абодва вырашаюць, ці будзе той жа профіль працаваць заўтра. Зменены адрас — гэта пяціхвіліннае выпраўленне і двухгадзінная загадка.

Другі ўзровень: праверце гадзіннік раней за сертыфікат

Няправільны гадзіннік перашкаджае тэрміну дзеяння сертыфіката і ўсяму, што залежыць ад часу, а ўбудаваная прылада, якая загружаецца без працоўнай крыніцы часу, можа некаторы час сядзець на старую дату. Тады праверка сертыфіката правальваецца з прычыны, якая не мае ніякага дачынення да ўліковых даных. Памылка тэрміну, даты якой адрозніваюцца на гады, паказвае на гадзіннік; тая ж памылка з бягучымі датамі паказвае на сертыфікат.

date -u
chronyc tracking

Выкарыстайце падтрыманы працэс аднаўлення часу і пацвердзіце гадзіннік роўтара, перш чым кранаць профіль. Адключэнне праверкі, каб абысці памылку, ператварае часовую праблему парадку ў пастаяннае паслабленне, і гэта самая распаўсюджаная дрэнная практыка ў гэтым сцэнары. Калі ў прылады няма гадзінніка з батарэйным сілкаваннем, парадак загрузкі важны: ёй патрэбен доступ да сеткі, перш чым сінхранізаваць час, і патрэбен час, перш чым праверыць тунель. Менавіта гэты парадак трэба выправіць, калі той жа збой паўтараецца пасля кожнага адключэння.

Трэці ўзровень: чытайце, што кажа тунель

Праверце ўласны стан тунеля і вынік яго рукапаціску або аўтэнтыфікацыі, а не тое, што інтэрфейс узняты. Інтэрфейс можа існаваць без усталяванага суразмоўцы, а кліент можа паказваць злучэнне, пакуль перагенерацыя ключоў не ўдаецца. Аддзяляйце транспартныя тайм-аўты ад відавочных адмоваў: тайм-аўт мяркуе, што шлях або суразмовец яшчэ недасягальныя, а адмова азначае, што далёкі бок адказаў і адмовіў, найчасцей праз уліковыя даныя, сертыфікат або ідэнтычнасць суразмоўцы, якая больш не супадае. Адпраўляць карыстальніка на скід пароля з-за тайм-аўту — марнаваць усім пасляабедзенны час.

Трымайце апошнюю вядома-добрую канфігурацыю пад рукой, каб параўноўваць палі, а не аднаўляць іх. Калі поле змянілася, гэта змяненне і ёсць знаходка. Параўнайце яго поле за полем з адноўленай, замест таго каб чытаць толькі адноўленую. Большасць сюрпрызаў пасля адключэння — гэта поле, якое ціха вярнулася да стандартнага значэння шаблона.

Чацвёрты ўзровень: тэстуйце з прылады ніжэй па ланцугу

Адкрыйце бяспечны дазволены рэсурс з кліента за роўтарам, затым пацвердзіце, які выхад або прыватны маршрут трафік сапраўды выкарыстаў. Праверце DNS і кожнае сямейства адрасоў, якое вы заяўляеце як пакрытае, бо ўласная проба роўтара можа ўдацца, пакуль палітыка кліента ўсё яшчэ няправільная — проба часта выкарыстоўвае іншую крыніцу, іншую табліцу або іншы шлях рэзалвера.

curl -s https://ifconfig.me
nslookup example.com

Калі тунель не працуе і гэта не проста няправільная налада, вырашыце, ці трэба блакаваць закранутых кліентаў, ці ім можна карыстацца зацверджаным рэзервовым шляхам. Гэты выбар належыць плану пераключэння да адключэння, а не чату падчас яго. Запішыце назіраны выхад і рэзалвер у заяўку пра адключэнне. Два радкі цяпер зэканомяць наступнаму чалавеку гадзіну здагадак пра тое, які шлях быў актыўны ў гэтым акне.

Што выправіць, каб наступнае адключэнне было карацейшым

Калі збой паўтараецца, выпраўленне — гэта парадак, а не канфігурацыя: узніміце WAN, затым час, затым тунель, затым палітыку кліента. Большасць роўтараў выражае гэта як залежнасць або затрымку, і кароткая наўмысная затрымка лепш за перапісванне профілю.

Затым паўтарыце звычайны тэст перазапуску пасля змены, уключаючы праверку на баку кліента. Тэст перазапуску, які глядзіць толькі на панэль роўтара, правярае найменш інфарматыўны з чатырох узроўняў.