Резервен лизинг след връщане на тунела към сайта: подновяване или изчакване?

Връзката към сайта е вдигната, тунелът е установен, а компютрите в клона все още не достигат до файловия сървър. По време на прекъсването работеха два часовника и само един от тях е приключил. Тунелът се възстанови, когато криптираният път се върна; адресът на всеки клиент се възстановява, когато текущият му лизинг приключи или бъде заменен. Сравняването на тези две времеви линии обяснява разликата по-бързо от четенето на журналите на защитната стена.

Два часовника и единият от тях не е тунелът

С DHCP през VPN плюс локален резерв устройството може да раздава временни локални лизинги, докато отдалеченият път на DHCP е недостъпен. Временната продължителност обикновено се брои в минути, което е достатъчно кратко, за да скрие проблема, и достатъчно дълго, за да надживее кратко прекъсване. Когато тунелът се върне, резервът спира да предлага тези лизинги. Той не влиза в клиента и не отменя лизинга, който той вече държи. Този клиент запазва адреса, маската, шлюза и резолвера си до подновяване или изтичане, и затова здрав тунел и счупен компютър могат да съществуват заедно до края на лизинга.

Дръжте реализацията и версията на софтуера свързани с това твърдение. Имената на таймерите и стойностите по подразбиране се различават между изданията на SonicOS и по-старият интерфейс не доказва какво прави по-новият.

Сравнете двете стъпки за възстановяване

Стъпка A е да изчакате. Не струва нищо, не рискува нищо и оставя всеки клиент да поднови по свой график. Стъпка B е да принудите освобождаване и подновяване на засегнатия клиент, което веднага дава желания адрес, но прекъсва всичко, което клиентът прави. На един компютър принудителното подновяване обикновено е по-бързият път и лесно се оправдава. В лаборатория или на POS терминал по средата на транзакция изчакването е по-безопасният избор, а планираното подновяване извън работно време побеждава и двете.

ipconfig /all
ipconfig /release
ipconfig /renew

Прочетете изхода, преди да освободите нещо. Ако адресът, шлюзът и DNS вече съвпадат с нормалния обхват, клиентът се е възстановил сам и останалият проблем е другаде. При клиент с Linux еквивалентът е освобождаване и подновяване на лизинга през мрежовия мениджър, а не ръчно редактиран адрес, защото иначе мениджърът ще презапише промяната ви при следващото събитие.

Четете офертата, не само адреса

Адресът сам по себе си не казва кой го е предоставил. Важни са идентификаторът на сървъра в офертата, времето на лизинга и дали шлюзът и резолверът съвпадат с резервния обхват или с нормалния.

tcpdump -ni any 'port 67 or port 68'

Записвайте по време на подновяването, защото тихият интерфейс ви казва, че клиентът никога не е питал. Ако офертата идва от локалния резерв, докато тунелът е вдигнат, логиката за избор все още смята отдалечения път за недостъпен и принудителните подновявания на клиентите ще повторят същия резултат. Свържете записа със събитията на тунела по един и същ часовник. Подмяна на ключове или кратко прекъсване, което завършва секунди преди заявката на клиента, е вероятна причина; чист тунел с резервен отговор е проблем в конфигурацията на пътя за избор.

Където сравнението се обръща

Ако много клиенти са засегнати наведнъж, подновяванията по клиент се превръщат в опашка от прекъсвания и обаждане до поддръжката. В този случай гледайте резервния обхват и процедурата за възстановяване, а не клиентите, защото групата се възстанови заедно и отново ще се възстанови заедно.

Ако е засегнат само един клиент, докато съседите му са наред, важи обратното: лизингът на този клиент, резервацията му или поведението на собствения му DHCP клиент е променливата и промяна за целия сайт е грешният инструмент.

Статичните адреси и резервациите изискват трети отговор. Клиент, закрепен към адрес, не може да бъде спасен с подновяване, а резервация, която се сблъсква с резервния обхват, създава дубликат, който изглежда като маршрутна повреда, докато не сравните двата адресни плана.

Запишете процедурата за изход

Решете предварително за какво служи резервът, колко дълго клиентът може да пази временния си адрес и кой има право да принуди подновяване в работно време. Запишете отговора там, където дежурният инженер ще го намери, до дефиницията на обхвата. След това го тествайте веднъж умишлено: свалете тунела, вижте какво получава клиентът, възстановете тунела и запишете колко време отнема на клиента да си върне нормалните настройки. Това едно упражнение заменя повечето от догадките следващия път, когато връзката към сайта примигне.

Завършете с потвърждаване на ресурса, а не на адреса. Достигането до файловия сървър, разрешаването на името му и достигането до интернет са три отделни проверки и само последната никога не е била под съмнение.