Ny router, samme VPN-server: flyt dens offentlige indgang

Du sætter den nye router til, internettet kommer tilbage, og VPN-klienten på telefonen peger stadig på en adresse, der ikke længere svarer. Intet på VPN-serveren er ændret, for serveren flyttede sig aldrig. Routeren var den offentlige indgang, og udskiftningen erstattede adressen, videresendelsesreglen og muligvis opdateringen af det dynamiske DNS på samme tid.

Behandl udskiftningen som to overdragelser, ikke én, og behold en lokal vej ind i administrationsgrænsefladen, mens du arbejder.

Skriv overdragelsen ned, før du trækker stikket

Noter LAN-præfikset, serveradressen og hvordan den tildeles, den lytter og den transport VPN faktisk bruger, den indgående regel der offentliggør den, og det navn klienterne har gemt. Noter derefter, hvilken maskine der i dag opdaterer den dynamiske DNS-post: det kan være routeren, serveren selv eller en separat agent på en anden vært. Gør det, mens de gamle administratorsider stadig indlæses. Et skærmbillede af den indgående regel slår et husket portnummer.

Tilføj de private præfikser, klienterne skal kunne nå, og hvordan enheder på LAN’et sender svar tilbage til dem. Begge dele glemmes let, fordi udskiftningsguiden taler om internetadgang, ikke om returveje. Eksportér også den gamle konfiguration, hvis producenten understøtter gendannelse af den, mens du accepterer, at en sikkerhedskopi fra én model sjældent importeres rent i en anden.

Opbevar den note et beskyttet sted. En routerbackup kan indeholde legitimationsoplysninger til WAN-forbindelsen. Behandl eksportfilen som en adgangskode og ikke som en note om indstillinger.

Flyt først adressen, derefter videresendelsen

Hvis den nye router beholder samme LAN-præfiks, giv serveren den reservation, den havde, eller en tilsvarende statisk tildeling. Hvis præfikset ændres, opdater først serveradressen og enhver lytterbinding, der navngiver den, for en videresendelse mod den gamle adresse sender stille trafikken ingen steder hen.

Genopret derefter præcis én indgående regel for den transport, VPN bruger. Producentvejledninger, der beskriver videresendelse til en lokal server, viser mekanismen, ikke en universel opskrift, så knyt reglen til din faktiske protokol og port i stedet for til en liste fra en blog. En videresendelse på den nye router kan ikke fjerne det operator-NAT, der ligger oven over den, og ingen lokal regel gør en privat adresse tilgængelig fra internettet, hvis udbyderen allerede deler en med dig.

Bekræft, at serverens egen firewall stadig tillader den trafik. Undersøg, om der sidder en ekstra gateway mellem routeren og internettet, for mange udbydere leverer et kombineret modem og router. Læs WAN-adressen på den nye enhed, og sammenlign den med den adresse, klienterne slår op. Hvis de er forskellige, lander din videresendelse på noget, der ikke er kanten.

Beslut, hvem der opdaterer det offentlige navn

Endpoint-opdateringer kræver én ejer og kun én. Hvis den gamle router offentliggjorde navnet, skal du konfigurere en understøttet opdatering på erstatningen og bekræfte, at posten faktisk ændrede sig. Hvis serveren allerede offentliggjorde det, så lad den ordning være i fred i stedet for at tilføje en konkurrerende opdatering, der vipper mellem to adresser.

Når implementeringen offentliggør begge adressefamilier, skal du læse både A- og AAAA-posten. Hver af dem skal pege på en tjeneste, der faktisk lytter og er tilladt gennem sin egen firewallvej, og en fungerende IPv4-mapping siger intet om IPv6-siden. Behold også identitetskontrollerne i klientprofilen: en ændret offentlig adresse er ikke grund til at acceptere et certifikat eller en peer-nøgle, der ikke passer.

Bevis udskiftningen udefra

Test med en autoriseret ekstern forbindelse og en frisk session, ikke fra indersiden af LAN’et. En intern test mod den offentlige adresse afhænger af hairpin-adfærd og går en anden vej end en rigtig klient.

Følg den sekvens, en klient følger: slå navnet op, forhandl tunnelen, godkend identiteten, og udfør derefter én handling mod en privat ressource. Det sidste trin er det, folk springer over, og det er det eneste, der beviser returvejen. Hvis login lykkes, men den private handling mislykkes, så sammenlign det nye LAN-præfiks, de ruter klienten valgte, og ressourcens svarvej med dine overdragelsesnoter.

Først når alle fire trin består, er den gamle router sikker at tage ud af drift. Træk stikket, og gentag derefter den eksterne test endnu en gang. En forældet post, der stadig slår op til den gamle adresse, fejler allerede i det første trin, og det er lettere at diagnosticere, mens den gamle enhed stadig står på hylden.

Gem den nye mapping sammen med dine gendannelsesnoter

Arkivér den endelige servertildeling, den indgående regel og navnet på opdateringsejeren ved siden af procedureren for at nå routeren lokalt. Den næste udskiftning bør starte fra den side i stedet for fra en traceroute.

Hvis tunnelen stadig fejler udefra efter alt ovenstående, så undersøg, om den offentlige adresse, routeren rapporterer, svarer til den, klienterne slår op. Den ene sammenligning skiller et DNS-problem fra et videresendelsesproblem, og den tager kortere tid end at læse endnu en guide om portvideresendelse.