Nový router, stejný server VPN: přesuňte jeho veřejný vstup

Zapojíte nový router, internet se vrátí a klient VPN v telefonu pořád ukazuje na adresu, která už neodpovídá. Na serveru VPN se nic nezměnilo, protože server se nikdy nepřesunul. Router byl veřejným vstupním bodem a jeho výměna vyměnila adresu, pravidlo přesměrování a možná i aktualizaci dynamického DNS najednou.

Berte výměnu jako dvě předání, ne jedno, a během práce si ponechte místní cestu do administračního rozhraní.

Zapište předání, než vše odpojíte

Zaznamenejte prefix LAN, adresu serveru a způsob jejího přidělení, naslouchající prvek a transport, které VPN skutečně používá, vstupní pravidlo, které ji zveřejňuje, a jméno, které si klienti uložili. Pak poznamenejte, který stroj dnes aktualizuje záznam dynamického DNS: může to být router, samotný server nebo samostatný agent na jiném hostiteli. Udělejte to, dokud se staré administrační stránky ještě načítají. Snímek obrazovky vstupního pravidla je lepší než zapamatované číslo portu.

Přidejte privátní prefixy, kterých mají klienti dosáhnout, a způsob, jakým zařízení v LAN posílají odpovědi zpět. Obojí se snadno zapomene, protože průvodce výměnou mluví o přístupu k internetu, ne o zpětných cestách. Exportujte také starou konfiguraci, pokud výrobce podporuje její obnovení, a přijměte, že záloha z jednoho modelu se do jiného málokdy naimportuje čistě.

Uchovávejte tento záznam na chráněném místě. Záloha routeru může obsahovat přihlašovací údaje k lince WAN. Chovejte se k exportovanému souboru jako k heslu, ne jako k poznámce o nastavení.

Nejdřív přesuňte adresu, potom přesměrování

Pokud si nový router ponechá stejný prefix LAN, dejte serveru rezervaci, kterou měl, nebo rovnocenné statické přidělení. Pokud se prefix změní, nejdřív aktualizujte adresu serveru a každou vazbu naslouchajícího prvku, která ji jmenuje, protože přesměrování na starou adresu bude tiše posílat provoz nikam.

Potom vytvořte přesně jedno vstupní pravidlo pro transport, který VPN používá. Příručky výrobců popisující přesměrování na místní server ukazují mechanismus, ne univerzální recept, proto pravidlo přizpůsobte svému skutečnému protokolu a portu, ne seznamu z blogu. Přesměrování na novém routeru neodstraní NAT na úrovni operátora, který stojí nad ním, a žádné místní pravidlo neudělá privátní adresu dostupnou z internetu, pokud vám poskytovatel už jednu sdílí.

Ověřte, že vlastní firewall serveru tento provoz stále povoluje. Zkontrolujte, zda mezi routerem a internetem nestojí druhá brána, protože mnoho poskytovatelů dodává kombinovaný modem a router. Přečtěte adresu WAN na novém zařízení a porovnejte ji s adresou, kterou klienti překládají. Pokud se liší, vaše přesměrování přistává na něčem, co není okrajem.

Rozhodněte, kdo aktualizuje veřejné jméno

Aktualizace koncového bodu potřebují jednoho vlastníka a jen jednoho. Pokud jméno zveřejňoval starý router, nastavte na náhradě podporovaný aktualizátor a ověřte, že se záznam skutečně změnil. Pokud ho už zveřejňoval server, nechte toto uspořádání být, místo abyste přidávali konkurenční aktualizátor, který kmitá mezi dvěma adresami.

Když nasazení zveřejňuje obě rodiny adres, čtěte záznam A i AAAA. Každý musí ukazovat na službu, která skutečně naslouchá a je povolena vlastní cestou přes firewall, a funkční mapování IPv4 neříká nic o straně IPv6. Zachovejte také kontroly identity v profilu klienta: změněná veřejná adresa není důvod přijmout certifikát nebo klíč protějšku, který nesouhlasí.

Dokažte výměnu zvenku

Testujte přes autorizované vnější připojení a novou relaci, ne zevnitř LAN. Vnitřní test proti veřejné adrese závisí na chování při návratu na vlastní adresu a jde jinou cestou než skutečný klient.

Následujte pořadí, které dodržuje klient: přeložte jméno, vyjednejte tunel, proveďte autentizaci a potom vykonejte jednu operaci proti privátnímu prostředku. Právě ten poslední krok lidé přeskakují a jen on dokazuje zpětnou cestu. Pokud přihlášení uspěje, ale privátní operace selže, porovnejte nový prefix LAN, trasy, které klient zvolil, a cestu odpovědi prostředku se svými poznámkami k předání.

Teprve když projdou všechny čtyři kroky, je starý router bezpečné vyřadit. Odpojte ho a potom vnější test ještě jednou zopakujte. Zastaralý záznam, který se ještě překládá na starou adresu, selže hned v prvním kroku, a to se diagnostikuje snadněji, dokud je staré zařízení ještě v poličce.

Uchovejte nové mapování u svých poznámek k obnově

Založte konečné přidělení serveru, vstupní pravidlo a jméno vlastníka aktualizace vedle postupu pro místní přístup k routeru. Příští výměna má začít na této stránce, ne od traceroute.

Pokud tunel po všem výše uvedeném zvenku stále nefunguje, zkontrolujte, zda veřejná adresa, kterou router hlásí, odpovídá té, kterou klienti překládají. Toto jediné srovnání oddělí problém s DNS od problému s přesměrováním a zabere méně času než čtení další příručky o přesměrování portů.