Novi ruter, isti VPN server: premjestite njegov javni ulaz

Uključite novi ruter, internet se vrati, a VPN klijent na telefonu i dalje pokazuje na adresu koja više ne odgovara. Na VPN serveru se ništa nije promijenilo, jer se server nikada nije pomjerio. Ruter je bio javna ulazna tačka, a njegova zamjena zamijenila je adresu, pravilo prosljeđivanja i vjerovatno ažuriranje dinamičkog DNS-a u isto vrijeme.

Tretirajte zamjenu kao dva predavanja, a ne jedno, i zadržite lokalni put do administrativnog interfejsa dok radite.

Zapišite predavanje prije nego što isključite

Zabilježite LAN prefiks, adresu servera i način na koji se dodjeljuje, slušaoca i transport koje VPN zaista koristi, ulazno pravilo koje ga objavljuje i ime koje su klijenti sačuvali. Zatim zabilježite koja mašina danas ažurira zapis dinamičkog DNS-a: to može biti ruter, sam server ili odvojeni agent na drugom hostu. Uradite to dok se stare administrativne stranice još učitavaju. Snimak ekrana ulaznog pravila bolji je od zapamćenog broja porta.

Dodajte privatne prefikse do kojih klijenti treba da stignu i način na koji uređaji u LAN-u šalju odgovore natrag do njih. Oboje se lako zaboravi jer čarobnjak za zamjenu govori o pristupu internetu, a ne o povratnim putevima. Izvezite i staru konfiguraciju ako proizvođač podržava njeno vraćanje, prihvatajući da se sigurnosna kopija jednog modela rijetko čisto uvozi u drugi.

Čuvajte taj zapis na zaštićenom mjestu. Sigurnosna kopija rutera može sadržavati akreditive za WAN vezu. Tretirajte izvezenu datoteku kao lozinku, a ne kao bilješku o postavkama.

Prvo premjestite adresu, pa prosljeđivanje

Ako novi ruter zadrži isti LAN prefiks, dajte serveru rezervaciju koju je imao ili odgovarajuću statičku dodjelu. Ako se prefiks promijeni, prvo ažurirajte adresu servera i svako vezivanje slušaoca koje je navodi, jer prosljeđivanje usmjereno na staru adresu tiho će slati saobraćaj nikuda.

Zatim napravite tačno jedno ulazno pravilo za transport koji VPN koristi. Vodiči proizvođača koji opisuju prosljeđivanje na lokalni server pokazuju mehanizam, a ne univerzalni recept, pa uskladite pravilo sa svojim stvarnim protokolom i portom, a ne sa spiskom sa bloga. Prosljeđivanje na novom ruteru ne može ukloniti NAT na nivou operatera koji stoji iznad njega, i nijedno lokalno pravilo neće učiniti privatnu adresu dostupnom sa interneta ako pružalac već dijeli jednu s vama.

Potvrdite da vlastiti firewall servera još uvijek dopušta taj saobraćaj. Provjerite da li između rutera i interneta stoji drugi gateway, jer mnogi pružaoci daju kombinovani modem i ruter. Pročitajte WAN adresu na novom uređaju i uporedite je s adresom koju klijenti razrješavaju. Ako se razlikuju, vaše prosljeđivanje slijeće na nešto što nije rub.

Odlučite ko ažurira javno ime

Ažuriranja krajnje tačke trebaju jednog vlasnika i samo jednog. Ako je stari ruter objavljivao ime, konfigurirajte podržani ažurator na zamjeni i potvrdite da se zapis zaista promijenio. Ako ga je server već objavljivao, ostavite taj raspored na miru umjesto da dodajete konkurentni ažurator koji leprša između dvije adrese.

Kada implementacija objavljuje obje porodice adresa, čitajte i A i AAAA zapis. Svaki mora pokazivati na servis koji zaista sluša i koji je dopušten kroz vlastitu firewall putanju, a radno IPv4 mapiranje ne govori ništa o IPv6 strani. Zadržite i provjere identiteta u profilu klijenta: promijenjena javna adresa nije razlog da prihvatite certifikat ili ključ partnera koji se ne podudara.

Dokažite zamjenu izvana

Testirajte s ovlaštenom vanjskom vezom i novom sesijom, a ne iz unutrašnjosti LAN-a. Unutrašnji test protiv javne adrese zavisi od ponašanja pri vraćanju na vlastitu adresu i prolazi drugim putem nego pravi klijent.

Slijedite redoslijed koji slijedi klijent: razriješite ime, pregovarajte tunel, autentificirajte se, pa izvršite jednu operaciju nad privatnim resursom. Taj zadnji korak ljudi preskaču i samo on dokazuje povratni put. Ako prijava uspije, a privatna operacija ne uspije, uporedite novi LAN prefiks, rute koje je klijent odabrao i put odgovora resursa sa svojim bilješkama o predavanju.

Tek nakon što prođu sva četiri koraka, stari ruter je siguran za povlačenje. Isključite ga, pa još jednom ponovite vanjski test. Zastario zapis koji se još razrješava na staru adresu pada već na prvom koraku, a to je lakše dijagnosticirati dok je stari uređaj još na polici.

Čuvajte novo mapiranje uz svoje bilješke za oporavak

Odložite konačnu dodjelu servera, ulazno pravilo i ime vlasnika ažuriranja pored postupka za lokalni pristup ruteru. Sljedeća zamjena treba početi s te stranice, a ne s tracerouteom.

Ako tunel i dalje ne uspijeva izvana nakon svega navedenog, provjerite da li se javna adresa koju ruter prijavljuje podudara s onom koju klijenti razrješavaju. To jedno poređenje odvaja DNS problem od problema prosljeđivanja i traje kraće od čitanja još jednog vodiča za prosljeđivanje portova.