Нов рутер, същият VPN сървър: преместете публичния му вход

Включвате новия рутер, интернетът се връща, а VPN клиентът на телефона ви все още сочи към адрес, който вече не отговаря. По VPN сървъра нищо не се е променило, защото сървърът никога не е местен. Рутерът беше публичната входна точка и подмяната му смени адреса, правилото за пренасочване и вероятно програмата за обновяване на динамичния DNS едновременно.

Третирайте смяната като две предавания, не като едно, и си запазете локален път до административния интерфейс, докато работите.

Запишете предаването, преди да изключите

Запишете LAN префикса, адреса на сървъра и начина, по който се задава, слушателя и транспорта, които VPN всъщност използва, входящото правило, което го публикува, и името, което клиентите са запазили. После отбележете коя машина обновява днес записа за динамичен DNS: може да е рутерът, самият сървър или отделен агент на друг хост. Правете това, докато старите административни страници още се зареждат. Екранна снимка на входящото правило е по-добра от запомнен номер на порт.

Добавете частните префикси, до които клиентите трябва да достигат, и начина, по който устройствата в LAN изпращат отговорите обратно към тях. И двете се забравят лесно, защото съветникът за смяна говори за достъп до интернет, а не за обратни пътища. Също експортирайте старата конфигурация, ако производителят поддържа възстановяването ѝ, като приемате, че резервно копие от един модел рядко се импортира чисто в друг.

Пазете този запис на защитено място. Резервното копие на рутер може да съдържа идентификационни данни за WAN връзката. Отнасяйте се към експортния файл като към парола, а не като към бележка с настройки.

Първо преместете адреса, после пренасочването

Ако новият рутер запази същия LAN префикс, дайте на сървъра резервацията, която имаше, или равностойно статично задаване. Ако префиксът се промени, първо обновете адреса на сървъра и всяко свързване на слушател, което го назовава, защото пренасочване към стария адрес ще изпраща трафик безшумно наникъде.

После създайте точно едно входящо правило за транспорта, който VPN използва. Ръководствата на производителите, които описват пренасочване към локален сървър, показват механизма, а не универсална рецепта, затова съобразете правилото с действителния си протокол и порт, а не със списък от блог. Пренасочване на новия рутер не може да премахне NAT на операторско ниво, който стои над него, и никакво локално правило няма да направи частен адрес достъпен от интернет, ако доставчикът вече споделя един с вас.

Потвърдете, че собствената защитна стена на сървъра все още разрешава този трафик. Проверете дали между рутера и интернет не стои втори шлюз, защото много доставчици дават комбиниран модем и рутер. Прочетете WAN адреса на новото устройство и го сравнете с адреса, който клиентите разрешават. Ако се различават, пренасочването ви каца върху нещо, което не е ръбът.

Решете кой обновява публичното име

Обновяванията на крайната точка изискват един собственик и само един. Ако старият рутер публикуваше името, настройте поддържана програма за обновяване на замяната и потвърдете, че записът наистина се е променил. Ако сървърът вече го публикуваше, оставете тази подредба без промяна, вместо да добавяте конкурентна програма, която трепти между два адреса.

Когато внедряването публикува и двете семейства адреси, четете и записа A, и записа AAAA. Всеки трябва да сочи към услуга, която наистина слуша и е разрешена през собствения си път през защитната стена, а работещо IPv4 съответствие не казва нищо за страната IPv6. Пазете и проверките за идентичност в профила на клиента: промененият публичен адрес не е причина да приемете сертификат или ключ на партньор, който не съвпада.

Докажете смяната отвън

Тествайте с разрешена външна връзка и нова сесия, а не отвътре в LAN. Вътрешният тест срещу публичния адрес зависи от поведението при връщане към собствения адрес и минава по различен път от този на истински клиент.

Следвайте последователността на клиента: разрешете името, договорете тунела, удостоверете самоличността, после извършете една операция с частен ресурс. Именно последната стъпка хората прескачат и само тя доказва обратния път. Ако входът успее, а частната операция се провали, сравнете новия LAN префикс, маршрутите, които клиентът е избрал, и пътя на отговора на ресурса с бележките си за предаване.

Едва след като минат и четирите стъпки, старият рутер е безопасен за извеждане. Изключете го, после повторете външния тест още веднъж. Остарял запис, който все още се разрешава до стария адрес, се проваля още на първата стъпка и това се диагностицира по-лесно, докато старото устройство е още на рафта.

Пазете новото съответствие с бележките си за възстановяване

Подредете окончателното задаване на сървъра, входящото правило и името на собственика на обновяването до процедурата за локален достъп до рутера. Следващата замяна трябва да започва от тази страница, а не от traceroute.

Ако тунелът все още не работи отвън след всичко по-горе, проверете дали публичният адрес, който рутерът съобщава, съвпада с този, който клиентите разрешават. Това единствено сравнение отделя проблем с DNS от проблем с пренасочването и отнема по-малко време от четене на поредното ръководство за пренасочване на портове.