Neuer Router, gleicher VPN-Server: den öffentlichen Einstiegspunkt verlegen

Sie stecken den neuen Router an, das Internet kommt zurück, und der VPN-Client auf dem Telefon zeigt weiterhin auf eine Adresse, die nicht mehr antwortet. Am VPN-Server hat sich nichts geändert, denn der Server ist nie umgezogen. Der Router war der öffentliche Einstiegspunkt, und sein Austausch ersetzte die Adresse, die Weiterleitungsregel und womöglich den Aktualisierer für dynamisches DNS gleich mit.

Behandeln Sie den Tausch als zwei Übergaben, nicht als eine, und halten Sie sich während der Arbeit einen lokalen Weg in die Verwaltungsoberfläche offen.

Schreiben Sie die Übergabe auf, bevor Sie abstecken

Notieren Sie das LAN-Präfix, die Serveradresse und wie sie vergeben wird, den Listener und das Transportprotokoll, die der VPN tatsächlich nutzt, die eingehende Regel, die ihn veröffentlicht, und den Namen, den die Clients gespeichert haben. Notieren Sie dann, welche Maschine heute den dynamischen DNS-Eintrag aktualisiert: Das kann der Router sein, der Server selbst oder ein separater Agent auf einem anderen Host. Tun Sie das, solange die alten Verwaltungsseiten noch laden. Ein Screenshot der eingehenden Regel ist besser als eine gemerkte Portnummer.

Ergänzen Sie die privaten Präfixe, die Clients erreichen sollen, und wie Geräte im LAN Antworten dorthin zurückschicken. Beides wird leicht vergessen, weil der Austauschassistent über Internetzugang spricht und nicht über Rückwege. Exportieren Sie außerdem die alte Konfiguration, wenn der Hersteller die Wiederherstellung unterstützt, und akzeptieren Sie dabei, dass sich eine Sicherung eines Modells selten sauber in ein anderes importieren lässt.

Bewahren Sie diese Aufzeichnung an einem geschützten Ort auf. Eine Router-Sicherung kann Zugangsdaten für die WAN-Strecke enthalten. Behandeln Sie die Exportdatei wie ein Passwort und nicht wie eine Notiz zu Einstellungen.

Zuerst die Adresse verschieben, dann die Weiterleitung

Behält der neue Router dasselbe LAN-Präfix, geben Sie dem Server die Reservierung, die er hatte, oder eine gleichwertige statische Zuweisung. Ändert sich das Präfix, aktualisieren Sie zuerst die Serveradresse und jede Listener-Bindung, die sie nennt, denn eine Weiterleitung auf die alte Adresse schickt den Verkehr stillschweigend ins Leere.

Legen Sie danach genau eine eingehende Regel für das Transportprotokoll an, das der VPN nutzt. Herstelleranleitungen, die das Weiterleiten an einen lokalen Server beschreiben, zeigen den Mechanismus, kein allgemeingültiges Rezept, also bilden Sie die Regel auf Ihr tatsächliches Protokoll und Ihren Port ab und nicht auf eine Liste aus einem Blog. Eine Weiterleitung auf dem neuen Router kann kein Carrier-Grade-NAT entfernen, das darüber sitzt, und keine lokale Regel macht eine private Adresse aus dem Internet erreichbar, wenn der Anbieter bereits eine mit Ihnen teilt.

Prüfen Sie, ob die Firewall des Servers selbst diesen Verkehr noch zulässt. Kontrollieren Sie, ob zwischen Router und Internet ein zweites Gateway sitzt, denn viele Anbieter liefern Modem und Router als Kombigerät. Lesen Sie die WAN-Adresse auf dem neuen Gerät und vergleichen Sie sie mit der Adresse, die Clients auflösen. Weichen sie voneinander ab, landet Ihre Weiterleitung auf etwas, das nicht der Rand ist.

Entscheiden Sie, wer den öffentlichen Namen aktualisiert

Aktualisierungen des Endpunkts brauchen einen Eigentümer und nur einen. Hat der alte Router den Namen veröffentlicht, richten Sie einen unterstützten Aktualisierer auf dem Ersatz ein und bestätigen Sie, dass sich der Eintrag tatsächlich geändert hat. Hat der Server ihn bereits veröffentlicht, lassen Sie diese Regelung in Ruhe, statt einen konkurrierenden Aktualisierer hinzuzufügen, der zwischen zwei Adressen flattert.

Veröffentlicht die Installation beide Adressfamilien, lesen Sie sowohl den A- als auch den AAAA-Eintrag. Jeder muss auf einen Dienst zeigen, der wirklich lauscht und über seinen eigenen Firewall-Pfad erlaubt ist, und ein funktionierendes IPv4-Mapping sagt nichts über die IPv6-Seite aus. Behalten Sie auch die Identitätsprüfungen im Clientprofil bei: eine geänderte öffentliche Adresse ist kein Grund, ein Zertifikat oder einen Peer-Schlüssel zu akzeptieren, das oder der nicht passt.

Beweisen Sie den Tausch von außen

Testen Sie mit einer autorisierten externen Verbindung und einer frischen Sitzung, nicht aus dem Inneren des LAN. Ein interner Test gegen die öffentliche Adresse hängt vom Hairpin-Verhalten ab und geht einen anderen Weg als ein echter Client.

Folgen Sie der Reihenfolge eines Clients: Namen auflösen, Tunnel aushandeln, authentifizieren, dann eine Operation gegen eine private Ressource ausführen. Genau diesen letzten Schritt lassen Leute aus, und nur er beweist den Rückweg. Klappt die Anmeldung, scheitert aber die private Operation, vergleichen Sie das neue LAN-Präfix, die vom Client gewählten Routen und den Antwortweg der Ressource mit Ihren Übergabenotizen.

Erst wenn alle vier Schritte bestehen, darf der alte Router außer Betrieb gehen. Stecken Sie ihn ab und wiederholen Sie den externen Test noch einmal. Ein veralteter Eintrag, der noch auf die alte Adresse auflöst, scheitert schon im ersten Schritt, und das lässt sich leichter diagnostizieren, solange das alte Gerät noch im Regal liegt.

Bewahren Sie die neue Zuordnung bei Ihren Wiederherstellungsnotizen auf

Legen Sie die endgültige Serverzuweisung, die eingehende Regel und den Namen des Aktualisierungseigentümers neben das Verfahren für den lokalen Zugang zum Router. Der nächste Austausch sollte von dieser Seite ausgehen und nicht von einem Traceroute.

Scheitert der Tunnel nach all dem oben weiterhin von außen, prüfen Sie, ob die öffentliche Adresse, die der Router meldet, mit der übereinstimmt, die Clients auflösen. Dieser eine Vergleich trennt ein DNS-Problem von einem Weiterleitungsproblem, und er kostet weniger Zeit, als eine weitere Anleitung zum Port-Forwarding zu lesen.