Concesión de respaldo tras volver el túnel del sitio: renovar o esperar

El enlace del sitio está activo, el túnel establecido, y los equipos de la sucursal siguen sin llegar al servidor de archivos. Durante la interrupción corrían dos relojes y solo uno de ellos ha terminado. El túnel se recuperó cuando volvió el camino cifrado; la dirección de cada cliente se recupera cuando termina o se sustituye su concesión actual. Comparar esas dos líneas de tiempo explica la diferencia más rápido que leer los registros del cortafuegos.

Dos relojes, y uno de ellos no es el túnel

Con DHCP sobre VPN más un respaldo local, el dispositivo puede entregar concesiones locales temporales mientras el camino DHCP remoto no está disponible. La duración temporal suele contarse en minutos, lo bastante corta para ocultar el problema y lo bastante larga para sobrevivir a una interrupción breve. Cuando el túnel vuelve, el respaldo deja de ofrecer esas concesiones. No entra en un cliente ni cancela la concesión que ya tiene. Ese cliente conserva su dirección, máscara, puerta de enlace y resolutor hasta la renovación o el vencimiento, y por eso un túnel sano y un escritorio roto pueden convivir el resto de la concesión.

Mantenga la implementación y la versión del software ligadas a esta afirmación. Los nombres de los temporizadores y los valores por defecto varían entre versiones de SonicOS, y una interfaz antigua no demuestra lo que hace una nueva.

Compare los dos movimientos de recuperación

El movimiento A es esperar. No cuesta nada, no arriesga nada y deja que cada cliente renueve según su propio calendario. El movimiento B es forzar una liberación y renovación en el cliente afectado, lo que obtiene la dirección prevista de inmediato pero interrumpe todo lo que el cliente está haciendo. En un solo escritorio, forzar la renovación suele ser el camino más rápido y es fácil de justificar. En un laboratorio o en un terminal de punto de venta en mitad de una transacción, esperar es la opción más segura, y una renovación programada fuera del horario laboral supera a ambas.

ipconfig /all
ipconfig /release
ipconfig /renew

Lea la salida antes de liberar nada. Si la dirección, la puerta de enlace y el DNS ya coinciden con el ámbito normal, el cliente se ha recuperado solo y el problema restante está en otro sitio. En un cliente Linux el equivalente es liberar y renovar la concesión a través del gestor de red en lugar de una dirección editada a mano, porque el gestor, si no, reescribirá su cambio en el siguiente evento.

Lea la oferta, no solo la dirección

La dirección sola no dice quién la proporcionó. Lo que importa es el identificador del servidor en la oferta, el tiempo de concesión y si la puerta de enlace y el resolutor coinciden con el ámbito de respaldo o con el normal.

tcpdump -ni any 'port 67 or port 68'

Capture durante la renovación, porque una interfaz silenciosa le dice que el cliente nunca preguntó. Si la oferta viene del respaldo local mientras el túnel está activo, la lógica de selección sigue tratando el camino remoto como no disponible, y forzar renovaciones en los clientes solo repetirá el mismo resultado. Correlacione la captura con los eventos del túnel en el mismo reloj. Una renegociación de claves o una caída breve que termina segundos antes de la petición del cliente es una causa plausible; un túnel limpio con una respuesta de respaldo es un problema de configuración en el camino de selección.

Donde la comparación se invierte

Si muchos clientes se ven afectados a la vez, las renovaciones por cliente se convierten en una cola de interrupciones y en una llamada al soporte. En ese caso, mire el ámbito de respaldo y el procedimiento de restauración en lugar de los clientes, porque la población se recuperó en conjunto y volverá a recuperarse en conjunto.

Si solo un cliente se ve afectado mientras sus vecinos están bien, ocurre lo contrario: la concesión de ese cliente, su reserva o el comportamiento de su propio cliente DHCP es la variable, y un cambio en todo el sitio es la herramienta equivocada.

Las direcciones estáticas y las reservas necesitan una tercera respuesta. Un cliente fijado a una dirección no se rescata con una renovación, y una reserva que choca con el ámbito de respaldo produce un duplicado que parece un fallo de enrutamiento hasta que compara los dos planes de direcciones.

Escriba el procedimiento de salida

Decida de antemano para qué sirve el respaldo, cuánto tiempo puede conservar un cliente su dirección temporal y quién puede forzar una renovación durante el horario laboral. Escriba la respuesta donde la encuentre el ingeniero de guardia, junto a la definición del ámbito. Después pruébelo una vez a propósito: corte el túnel, observe qué recibe el cliente, restaure el túnel y anote cuánto tarda el cliente en recuperar su configuración normal. Ese único ejercicio sustituye la mayor parte de las conjeturas la próxima vez que el enlace del sitio parpadee.

Termine confirmando el recurso, no la dirección. Llegar al servidor de archivos, resolver su nombre y llegar a internet son tres comprobaciones separadas, y solo la última no estuvo nunca en duda.