Fallback-lease, når site-tunnelen vender tilbage: forny eller vent?

Site-forbindelsen er oppe, tunnelen er etableret, og filialens pc’er kan stadig ikke nå filserveren. Der kørte to ure under afbrydelsen, og kun det ene af dem er færdigt. Tunnelen blev genoprettet, da den krypterede vej kom tilbage; hver klients adresse genoprettes, når dens nuværende lease udløber eller erstattes. At sammenligne de to tidslinjer forklarer hullet hurtigere end at læse firewall-logfiler.

To ure, og det ene er ikke tunnelen

Med DHCP over VPN plus en lokal fallback kan enheden uddele midlertidige lokale leases, mens den fjernede DHCP-vej er utilgængelig. Den midlertidige varighed tælles normalt i minutter, hvilket er kort nok til at skjule problemet og langt nok til at overleve en kort afbrydelse. Når tunnelen vender tilbage, holder fallbacken op med at udbyde disse leases. Den går ikke ind i en klient og annullerer den lease, den allerede har. Klienten beholder sin adresse, maske, gateway og resolver indtil fornyelse eller udløb, og derfor kan en sund tunnel og en ødelagt computer sameksistere resten af leasen.

Hold implementeringen og softwareversionen knyttet til dette udsagn. Timernavne og standardværdier varierer mellem SonicOS-udgivelser, og en ældre grænseflade beviser ikke, hvad en nyere gør.

Sammenlign de to genopretningstræk

Træk A er at vente. Det koster intet, risikerer intet og overlader det til hver klient at forny efter sin egen tidsplan. Træk B er at gennemtvinge en frigivelse og fornyelse på den berørte klient, hvilket giver den tilsigtede adresse med det samme, men afbryder alt, hvad klienten laver. På en enkelt computer er den gennemtvungne fornyelse normalt den hurtigere vej og let at begrunde. I et laboratorium eller på en kasse-terminal midt i en transaktion er det sikrere valg at vente, og en planlagt fornyelse uden for arbejdstiden slår begge.

ipconfig /all
ipconfig /release
ipconfig /renew

Læs outputtet, før du frigiver noget. Hvis adressen, gatewayen og DNS allerede matcher det normale område, er klienten kommet sig selv, og det resterende problem er et andet sted. På en Linux-klient er ækvivalenten en lease-frigivelse og -fornyelse via netværksadministratoren i stedet for en håndredigeret adresse, fordi administratoren ellers overskriver din ændring ved næste hændelse.

Læs tilbuddet, ikke kun adressen

Adressen alene siger ikke, hvem der leverede den. Det afgørende er serveridentifikatoren i tilbuddet, lease-tiden, og om gatewayen og resolveren matcher fallback-området eller det normale.

tcpdump -ni any 'port 67 or port 68'

Optag under fornyelsen, fordi en tavs grænseflade fortæller dig, at klienten aldrig spurgte. Hvis tilbuddet kommer fra den lokale fallback, mens tunnelen er oppe, behandler valglogikken stadig den fjernede vej som utilgængelig, og gennemtvungne fornyelser på klienter gentager blot det samme resultat. Korrelér optagelsen med tunnelhændelser på samme ur. En nøglefornyelse eller et kort udfald, der slutter sekunder før klientens anmodning, er en sandsynlig årsag; en ren tunnel med et fallback-svar er et konfigurationsproblem i valgvejen.

Hvor sammenligningen vender

Hvis mange klienter rammes på én gang, bliver fornyelser per klient til en kø af afbrydelser og et opkald til supporten. I så fald skal du se på fallback-området og gendannelsesproceduren i stedet for på klienterne, fordi populationen kom sig sammen og vil komme sig sammen igen.

Hvis kun én klient rammes, mens naboerne har det fint, gælder det modsatte: den klients lease, dens reservation eller dens egen DHCP-klientadfærd er variablen, og en ændring for hele sitet er det forkerte værktøj.

Statiske adresser og reservationer kræver et tredje svar. En klient, der er bundet til en adresse, kan ikke reddes af en fornyelse, og en reservation, der støder sammen med fallback-området, giver en dublet, der ligner en routingfejl, indtil du sammenligner de to adresseplaner.

Skriv exitproceduren ned

Beslut på forhånd, hvad fallbacken er til, hvor længe en klient må beholde sin midlertidige adresse, og hvem der må gennemtvinge en fornyelse i arbejdstiden. Skriv svaret der, hvor den vagthavende tekniker finder det, ved siden af områdedefinitionen. Test det derefter én gang med vilje: slip tunnelen, se hvad klienten modtager, genopret tunnelen, og notér, hvor lang tid klienten bruger på at få sine normale indstillinger tilbage. Den ene øvelse erstatter det meste af gætteriet næste gang, site-forbindelsen blafrer.

Slut af med at bekræfte ressourcen, ikke adressen. At nå filserveren, slå dens navn op og nå internettet er tre separate kontroller, og kun den sidste var aldrig i tvivl.