VPN na routeru vypadá po výpadku v pořádku? Otestujte tyto čtyři vrstvy

Router, který se po výpadku rozsvítí, obnovil svou konfiguraci, ne konektivitu. Po výpadku proudu může router obnovit uložený profil VPN dřív, než jsou připravené závislosti, které tento profil potřebuje: modem výše v síti se může ještě trénovat, hodiny mohou být špatné a autentizace nemusí být dokončená. Kontrolka na panelu a uložená konfigurace popisují záměr, ne funkční tunel. Projděte čtyři vrstvy níže v pořadí, místo abyste měnili profil, což lidé dělají jako druhé a litují jako první.

Všechno zde předpokládá, že jste na místě nebo máte cestu dovnitř, která nezávisí na tunelu, který testujete. Pokud ne, zařiďte to před dalším výpadkem.

První vrstva: vrátila se WAN skutečně

Začněte modemem, ne panelem routeru. Router, který dokončí start dřív, než se jeho modem natrénuje, ukazuje zdravé rozhraní, za kterým nic není, a tunel nemá koho oslovit. Ověřte, že modem skutečně předává, a pak ověřte, že router převzal nastavení WAN, které očekáváte. Zkontrolujte také, zda se změnila adresa WAN: dynamická adresa, která se vrátí jiná, může zneplatnit pravidlo založené na adrese nebo vzdálený seznam povolených, a zevnitř sítě to vypadá jako porucha VPN.

Některé přístupové sítě po výpadku vyžadují i nový krok přijetí. Čtěte klientský log pro první fázi selhání, místo abyste hádali: první chyba pojmenuje vrstvu a všechno po ní je následek. Zapište adresu a výsledek přijetí do tiketu, protože obojí rozhoduje, zda bude stejný profil zítra fungovat. Změněná adresa je pětiminutová oprava a dvouhodinová záhada.

Druhá vrstva: zkontrolujte hodiny dřív než certifikát

Špatné hodiny narušují platnost certifikátu a vše časově závislé, a vestavěné zařízení, které naběhne bez funkčního zdroje času, může nějakou dobu zůstat na starém datu. Validace certifikátu pak selže z důvodu, který s přihlašovacím údajem nemá nic společného. Chyba platnosti, jejíž data jsou o roky posunutá, ukazuje na hodiny; stejná chyba s aktuálními daty ukazuje na certifikát.

date -u
chronyc tracking

Použijte podporovaný postup obnovy času a potvrďte hodiny routeru, než se dotknete profilu. Vypnutí validace, aby se chyba obešla, mění dočasný problém s pořadím na trvalé oslabení, a to je v tomto scénáři nejčastější špatná oprava. Pokud zařízení nemá hodiny na baterii, záleží na pořadí startu: potřebuje síťový přístup, než může synchronizovat čas, a čas, než může validovat tunel. Právě to pořadí je třeba opravit, pokud se stejné selhání opakuje po každém výpadku.

Třetí vrstva: přečtěte si, co tunel říká

Zkontrolujte vlastní stav tunelu a výsledek jeho handshake nebo autentizace, ne to, že rozhraní je nahoře. Rozhraní může existovat bez navázaného protějšku a klient může ukazovat připojení, zatímco obnova klíčů selhává. Oddělte transportní časové limity od výslovných odmítnutí: časový limit naznačuje, že cesta nebo protějšek ještě není dosažitelný, zatímco odmítnutí znamená, že vzdálená strana odpověděla a odmítla, nejčastěji kvůli přihlašovacím údajům, certifikátu nebo identitě protějšku, která už nesedí. Posílat uživatele na reset hesla kvůli časovému limitu všechny připraví o odpoledne.

Mějte po ruce poslední známou dobrou konfiguraci, abyste pole porovnávali, místo abyste je rekonstruovali. Pokud se pole změnilo, tou změnou je nález. Porovnejte ho pole po poli s obnovenou, místo abyste četli jen obnovenou. Většina překvapení po výpadku je pole, které se tiše vrátilo k výchozí hodnotě šablony.

Čtvrtá vrstva: testujte ze zařízení níže v síti

Otevřete neškodný povolený zdroj z klienta za routerem a pak ověřte, který výstup nebo privátní trasu provoz skutečně použil. Zkontrolujte DNS a každou rodinu adres, kterou tvrdíte, že pokrýváte, protože vlastní sonda routeru může uspět, zatímco klientská politika je stále špatná — sonda často používá jiný zdroj, jinou tabulku nebo jinou cestu k resolveru.

curl -s https://ifconfig.me
nslookup example.com

Pokud je tunel dole a není jen špatně nastavený, rozhodněte, zda musí být postižení klienti blokováni, nebo smějí použít schválenou zálohu. Tato volba patří do plánu převzetí před výpadkem, ne do chatovacího vlákna během něj. Zapište pozorovaný výstup a resolver do tiketu o výpadku. Dva řádky teď ušetří dalšímu člověku hodinu hádání, která cesta byla během okna aktivní.

Co opravit, aby byl příští výpadek kratší

Pokud se selhání opakuje, opravou je pořadí, ne konfigurace: zvedněte WAN, pak čas, pak tunel, pak klientskou politiku. Většina routerů to vyjadřuje jako závislost nebo zpoždění, a krátké záměrné zpoždění je lepší než přepis profilu.

Pak po změně zopakujte obvyklý test restartu, včetně kontroly na straně klienta. Test restartu, který se dívá jen na panel routeru, testuje nejméně informativní ze čtyř vrstev.