Záložní lease po návratu tunelu k lokalitě: obnovit, nebo počkat?

Spojení s lokalitou je nahoru, tunel navázán, a počítače pobočky se přesto nedostanou na souborový server. Během výpadku běžely dvoje hodiny a dokončily se jen jedny z nich. Tunel se obnovil, když se vrátila šifrovaná cesta; adresa každého klienta se obnoví, když jeho současný lease skončí nebo je nahrazen. Porovnání těchto dvou časových os vysvětlí mezeru rychleji než čtení logů firewallu.

Dvoje hodiny, a jedny z nich nejsou tunel

S DHCP přes VPN a místní zálohou může zařízení vydávat dočasné místní leasy, dokud je vzdálená cesta DHCP nedostupná. Dočasná doba se obvykle počítá v minutách, což je dost krátké na to, aby problém skrylo, a dost dlouhé na to, aby přežilo krátký výpadek. Když se tunel vrátí, záloha přestane tyto leasy nabízet. Nezasáhne do klienta a nezruší lease, který už drží. Takový klient si ponechá adresu, masku, bránu a resolver až do obnovy nebo vypršení, a proto mohou zdravý tunel a rozbitý počítač koexistovat po zbytek leasu.

Udržujte implementaci a verzi softwaru u tohoto tvrzení. Názvy časovačů a výchozí hodnoty se mezi vydáními SonicOS liší a starší rozhraní nedokazuje, co dělá novější.

Porovnejte dva kroky obnovy

Krok A je počkat. Nic nestojí, nic neriskuje a nechává každého klienta obnovit podle jeho vlastního rozvrhu. Krok B je vynutit uvolnění a obnovu na postiženém klientovi, což okamžitě získá zamýšlenou adresu, ale přeruší vše, co klient dělá. Na jednom počítači je vynucená obnova obvykle rychlejší cestou a snadno se obhájí. V laboratoři nebo na pokladním terminálu uprostřed transakce je bezpečnější volbou čekání a naplánovaná obnova mimo pracovní dobu poráží obojí.

ipconfig /all
ipconfig /release
ipconfig /renew

Přečtěte si výstup, než cokoli uvolníte. Pokud adresa, brána a DNS už odpovídají běžnému rozsahu, klient se obnovil sám a zbývající problém je jinde. U klienta s Linuxem je ekvivalentem uvolnění a obnova leasu přes správce sítě, nikoli ručně upravená adresa, protože správce by jinak váš zásah přepsal při další události.

Čtěte nabídku, ne jen adresu

Adresa sama neříká, kdo ji poskytl. Důležitý je identifikátor serveru v nabídce, doba leasu a to, zda brána a resolver odpovídají záložnímu rozsahu, nebo běžnému.

tcpdump -ni any 'port 67 or port 68'

Zachycujte během obnovy, protože tiché rozhraní říká, že se klient nikdy nezeptal. Pokud nabídka přichází z místní zálohy, zatímco je tunel nahoru, logika výběru stále považuje vzdálenou cestu za nedostupnou a vynucené obnovy na klientech jen zopakují stejný výsledek. Spojte zachycení s událostmi tunelu na stejných hodinách. Obnova klíčů nebo krátký výpadek, který skončí sekundy před požadavkem klienta, je pravděpodobná příčina; čistý tunel se záložní odpovědí je problém konfigurace ve výběrové cestě.

Kde se srovnání obrací

Pokud je postiženo mnoho klientů najednou, obnovy po klientech se změní na frontu přerušení a telefonát na podporu. V takovém případě se dívejte na záložní rozsah a postup obnovy, ne na klienty, protože populace se obnovila společně a zase se obnoví společně.

Pokud je postižen jen jeden klient a jeho sousedé jsou v pořádku, platí opak: proměnnou je lease tohoto klienta, jeho rezervace nebo chování jeho vlastního DHCP klienta, a změna pro celou lokalitu je špatný nástroj.

Statické adresy a rezervace potřebují třetí odpověď. Klienta připnutého k adrese nelze zachránit obnovou a rezervace, která koliduje se záložním rozsahem, vytvoří duplikát, jenž vypadá jako porucha směrování, dokud neporovnáte oba adresní plány.

Zapište postup odchodu

Předem rozhodněte, k čemu záloha je, jak dlouho si klient smí ponechat dočasnou adresu a kdo smí během pracovní doby vynutit obnovu. Odpověď napište tam, kde ji najde pohotovostní technik, vedle definice rozsahu. Pak to jednou záměrně vyzkoušejte: shodte tunel, sledujte, co klient dostane, obnovte tunel a zaznamenejte, jak dlouho klientovi trvá vrátit běžné nastavení. Toto jediné cvičení nahradí většinu hádání, až příště spojení s lokalitou zakolísá.

Skončete potvrzením prostředku, ne adresy. Dostat se na souborový server, přeložit jeho jméno a dostat se na internet jsou tři samostatné kontroly a jen ta poslední nikdy nebyla sporná.