VPN на рутера изглежда наред след прекъсване? Проверете тези четири слоя

Рутер, който светне след прекъсване, е възстановил конфигурацията си, а не свързаността си. След спиране на тока рутерът може да възстанови запазения профил за VPN, преди зависимостите, от които този профил се нуждае, да са готови: модемът отгоре може още да се обучава, часовникът може да е грешен, а удостоверяването може да не е завършило. Лампата на таблото и запазената конфигурация описват намерение, а не работещ тунел. Проверете четирите слоя по-долу по ред, вместо да сменяте профила — точно това хората правят второ и съжаляват първо.

Всичко тук предполага, че сте на място или имате начин за достъп, който не зависи от тунела, който тествате. Ако нямате, уредете го преди следващото прекъсване.

Първи слой: наистина ли WAN се е върнал

Започнете с модема, а не с таблото на рутера. Рутер, който завърши зареждането преди модемът му да се е обучил, показва здрав интерфейс без нищо зад него, а тунелът няма с кого да се свърже. Потвърдете, че модемът наистина препраща, после потвърдете, че рутерът е получил настройките за WAN, които очаквате. Проверете и дали адресът на WAN се е променил: динамичен адрес, който се връща различен, може да обезсили правило, базирано на адрес, или отдалечен списък за разрешаване, а отвътре в мрежата това изглежда като повреда на VPN.

Някои мрежи за достъп изискват и нова стъпка за допускане след прекъсване. Четете клиентския журнал за първия етап на отказ, вместо да гадаете: първата грешка назовава слоя, а всичко след нея е следствие. Запишете адреса и резултата от допускането в заявката, защото и двете решават дали същият профил ще работи утре. Промененият адрес е петминутна поправка и двучасова загадка.

Втори слой: проверете часовника преди сертификата

Грешен часовник пречи на валидността на сертификата и на всичко, свързано с време, а вградено устройство, което зарежда без работещ източник на време, може да остане със стара дата известно време. Тогава проверката на сертификата се проваля по причина, която няма нищо общо с удостоверението. Грешка за валидност, чиито дати са с години назад, сочи към часовника; същата грешка с текущи дати сочи към сертификата.

date -u
chronyc tracking

Използвайте поддържания процес за възстановяване на времето и потвърдете часовника на рутера, преди да пипате профила. Изключването на проверката, за да се прескочи грешката, превръща временен проблем с подредбата в постоянно отслабване и е най-честата лоша поправка в този сценарий. Ако устройството няма часовник с батерия, редът на зареждане има значение: то се нуждае от мрежов достъп, преди да синхронизира време, и от време, преди да провери тунел. Този ред е нещото, което трябва да се поправи, ако същият отказ се повтаря след всяко прекъсване.

Трети слой: прочетете какво казва тунелът

Проверете собственото състояние на тунела и резултата от ръкостискането или удостоверяването, а не това, че интерфейсът е вдигнат. Интерфейс може да съществува без установен партньор, а клиент може да показва свързаност, докато подмяната на ключове се проваля. Разделяйте транспортните изчаквания от явните откази: изчакването подсказва, че пътят или партньорът още не са достъпни, докато отказът означава, че далечната страна е отговорила и е отказала, най-често заради удостоверение, сертификат или самоличност на партньора, която вече не съвпада. Да пратите потребителя на смяна на парола заради изчакване пропилява следобеда на всички.

Дръжте последната известна добра конфигурация под ръка, за да сравнявате полета, вместо да ги възстановявате. Ако поле се е променило, тази промяна е находката. Сравнете го поле по поле с възстановената, вместо да четете само възстановената. Повечето изненади след прекъсване са поле, което тихо се е върнало към стойност по подразбиране от шаблон.

Четвърти слой: тествайте от устройство надолу по веригата

Отворете безвреден разрешен ресурс от клиент зад рутера, после потвърдете кой изход или частен маршрут действително е използвал трафикът. Проверете DNS и всяко семейство адреси, което твърдите, че покривате, защото собствената проба на рутера може да успее, докато клиентската политика още е грешна — пробата често използва друг източник, друга таблица или друг път до резолвера.

curl -s https://ifconfig.me
nslookup example.com

Ако тунелът е спрян, а не просто зле настроен, решете дали засегнатите клиенти трябва да бъдат блокирани, или могат да ползват одобрен резервен вариант. Този избор принадлежи на плана за превключване преди прекъсване, а не на чат по време на такова. Запишете наблюдавания изход и резолвер в заявката за прекъсването. Два реда сега спестяват на следващия човек час гадаене кой път е бил активен през прозореца.

Какво да поправите, за да е по-кратко следващото прекъсване

Ако отказът се повтаря, поправката е подредба, а не конфигурация: вдигнете WAN, после времето, после тунела, после клиентската политика. Повечето рутери изразяват това като зависимост или закъснение, а кратко умишлено закъснение е по-добро от пренаписване на профила.

После повторете обичайния тест за рестартиране, след като сте го променили, включително проверката от страна на клиента. Тест за рестартиране, който гледа само таблото на рутера, проверява най-малко информативния от четирите слоя.