Routerens VPN ser fin ud efter en strømafbrydelse? Test disse fire lag

En router, der lyser op efter en afbrydelse, har gendannet sin konfiguration, ikke sin forbindelse. Efter en strømafbrydelse kan en router gendanne sin gemte VPN-profil, før de afhængigheder, profilen har brug for, er klar: modemet ovenfor kan stadig være ved at træne, uret kan være forkert, og godkendelsen kan være uafsluttet. Lyset i panelet og den gemte konfiguration beskriver hensigt, ikke en fungerende tunnel. Kontroller de fire lag nedenfor i rækkefølge i stedet for at udskifte profilen, for det er det, folk gør som det andet og fortryder først.

Alt her forudsætter, at du er på stedet eller har en vej ind, der ikke afhænger af den tunnel, du tester. Hvis ikke, skal du arrangere det før næste afbrydelse.

Første lag: er WAN faktisk tilbage

Start med modemet, ikke routerens panel. En router, der bliver færdig med at starte, før dens modem har trænet, viser et sundt interface uden noget bag sig, og tunnelen har ingen modpart at nå. Bekræft, at modemet faktisk videresender, og bekræft derefter, at routeren har taget de WAN-indstillinger, du forventer. Kontroller også, om WAN-adressen er ændret: en dynamisk adresse, der kommer tilbage anderledes, kan ugyldiggøre en adressebaseret regel eller en fjernadgangsliste, og indefra ser det ud som en VPN-fejl.

Nogle adgangsnetværk kræver også et nyt optagelsestrin efter en afbrydelse. Læs klientloggen for det første fejltrin i stedet for at gætte: den første fejl navngiver laget, og alt derefter er en konsekvens. Skriv adressen og optagelsesresultatet i billetten, for begge afgør, om den samme profil virker i morgen. En ændret adresse er en fem minutters løsning og et to timers mysterium.

Andet lag: kontroller uret før certifikatet

Et forkert ur forstyrrer certifikatets gyldighed og alt tidsbaseret, og en indbygget enhed, der starter uden en fungerende tidskilde, kan stå på en gammel dato et stykke tid. Certifikatvalideringen fejler derefter af en grund, der intet har at gøre med legitimationsoplysningen. En gyldighedsfejl, hvis datoer er år forkert, peger på uret; den samme fejl med aktuelle datoer peger på certifikatet.

date -u
chronyc tracking

Brug den understøttede tidsgendannelsesproces, og bekræft routerens ur, før du rører profilen. At slå validering fra for at komme forbi fejlen gør et midlertidigt ordensproblem til en permanent svækkelse, og det er den mest almindelige dårlige løsning i dette scenarie. Hvis enheden ikke har et batteridrevet ur, betyder startrækkefølgen noget: den skal have netværksadgang, før den kan synkronisere tid, og den skal have tid, før den kan validere en tunnel. Den rækkefølge er det, der skal rettes, hvis den samme fejl gentages efter hver afbrydelse.

Tredje lag: læs, hvad tunnelen siger

Kontroller tunnelens egen tilstand og resultatet af dens håndtryk eller godkendelse i stedet for, at interfacet er oppe. Et interface kan findes uden en etableret modpart, og en klient kan vise forbindelse, mens nøglefornyelse fejler. Adskil transport-timeouts fra udtrykkelige afvisninger: en timeout tyder på, at stien eller modparten ikke er nåbar endnu, mens en afvisning betyder, at den anden ende svarede og afviste, oftest på grund af legitimationsoplysninger, et certifikat eller en modpartsidentitet, der ikke længere passer. At sende brugeren gennem en adgangskodenulstilling for en timeout spilder alles eftermiddag.

Hold den sidst kendte gode konfiguration ved hånden, så du kan sammenligne felter i stedet for at genskabe dem. Hvis et felt er ændret, er den ændring fundet. Sammenlign det felt for felt med den gendannede i stedet for kun at læse den gendannede. De fleste overraskelser efter en afbrydelse er et felt, der stille er faldet tilbage til en skabelonstandard.

Fjerde lag: test fra en enhed længere nede

Åbn en harmløs tillad ressource fra en klient bag routeren, og bekræft derefter, hvilken udgang eller privat rute trafikken faktisk brugte. Kontroller DNS og hver adressefamilie, du hævder at dække, for routerens egen probe kan lykkes, mens klientpolitikken stadig er forkert — proben bruger ofte en anden kilde, en anden tabel eller en anden resolversti.

curl -s https://ifconfig.me
nslookup example.com

Hvis tunnelen er nede og ikke blot fejlkonfigureret, skal du beslutte, om berørte klienter skal blokeres, eller om de må bruge en godkendt fallback. Det valg hører i failover-planen før en afbrydelse, ikke i en chattråd under en. Skriv den observerede udgang og resolver i afbrydelsesbilletten. To linjer nu sparer den næste person en times gætteri om, hvilken sti der var aktiv i vinduet.

Hvad du skal rette, så den næste afbrydelse bliver kortere

Hvis fejlen gentages, er rettelsen rækkefølge, ikke konfiguration: bring WAN op, derefter tid, derefter tunnelen, derefter klientpolitik. De fleste routere udtrykker det som en afhængighed eller en forsinkelse, og en kort bevidst forsinkelse slår en omskrivning af profilen.

Gentag derefter den normale genstartstest, når du har ændret det, inklusive kontrollen på klientsiden. En genstartstest, der kun ser på routerens panel, tester det mindst informative af de fire lag.