Varulising pärast saidi tunneli tagasitulekut: uuendada või oodata?

Saidi link on üleval, tunnel loodud, ja harukontori arvutid ei saa ikka failiserverini. Katkestuse ajal käis kaks kella ja ainult üks neist on lõpetanud. Tunnel taastus, kui krüpteeritud tee tagasi tuli; iga kliendi aadress taastub, kui tema praegune lising lõpeb või asendatakse. Nende kahe ajajoone võrdlemine selgitab lünka kiiremini kui tulemüüri logide lugemine.

Kaks kella, ja üks neist ei ole tunnel

DHCP-ga üle VPN-i ja kohaliku varulahendusega saab seade väljastada ajutisi kohalikke lisinguid, kuni kaugem DHCP-tee pole saadaval. Ajutist kestust loetakse tavaliselt minutites, mis on piisavalt lühike, et probleemi varjata, ja piisavalt pikk, et lühike katkestus üle elada. Kui tunnel tagasi tuleb, lõpetab varulahendus nende lisingute pakkumise. See ei lähe kliendi sisse ega tühista lisingut, mis tal juba on. See klient hoiab oma aadressi, maski, lüüsi ja resolverit kuni uuendamise või aegumiseni, ja seetõttu saavad terve tunnel ja katki arvuti lisingu lõpuni kõrvuti eksisteerida.

Hoidke teostus ja tarkvara versioon selle väitega seotud. Taimerite nimed ja vaikeväärtused erinevad SonicOS-i versioonide vahel ning vanem liides ei tõesta, mida teeb uuem.

Võrrelge kahte taastamiskäiku

Käik A on oodata. See ei maksa midagi, ei riski millegagi ja jätab iga kliendi uuendama oma ajakava järgi. Käik B on sundida mõjutatud kliendil vabastama ja uuendama, mis annab kavandatud aadressi kohe, kuid katkestab kõik, mida klient teeb. Ühel töölaual on sunnitud uuendamine tavaliselt kiirem tee ja seda on lihtne põhjendada. Laboris või müügikassa terminalis keset tehingut on ootamine turvalisem valik ning väljaspool tööaega planeeritud uuendamine lööb mõlemat.

ipconfig /all
ipconfig /release
ipconfig /renew

Lugege väljundit enne, kui midagi vabastate. Kui aadress, lüüs ja DNS vastavad juba tavalisele ulatusele, on klient ise taastunud ja ülejäänud probleem on mujal. Linuxi kliendil on ekvivalent lisingu vabastamine ja uuendamine võrguhalduri kaudu, mitte käsitsi muudetud aadress, sest muidu kirjutab haldur teie muudatuse järgmisel sündmusel üle.

Lugege pakkumist, mitte ainult aadressi

Aadress üksi ei ütle, kes selle andis. Tähtis on pakkumises olev serveri identifikaator, lisingu aeg ja see, kas lüüs ja resolver vastavad varuulatusele või tavalisele.

tcpdump -ni any 'port 67 or port 68'

Salvestage uuendamise ajal, sest vaikne liides ütleb, et klient ei küsinud kunagi. Kui pakkumine tuleb kohalikust varulahendusest, kui tunnel on üleval, käsitleb valikuloogika kaugemat teed endiselt kättesaamatuna ja sunnitud uuendused klientidel kordavad lihtsalt sama tulemust. Korrelleerige salvestus tunneli sündmustega samal kellal. Võtmeuuendus või lühike katkestus, mis lõpeb sekundeid enne kliendi päringut, on tõenäoline põhjus; puhas tunnel koos varuvastusega on konfiguratsiooniprobleem valikuteel.

Kus võrdlus pöördub

Kui korraga on mõjutatud palju kliente, muutuvad kliendipõhised uuendused katkestuste järjekorraks ja tugiteenuse kõneks. Sel juhul vaadake varuulatust ja taastamisprotseduuri, mitte kliente, sest populatsioon taastus koos ja taastub jälle koos.

Kui mõjutatud on ainult üks klient, samal ajal kui tema naabrid on korras, kehtib vastupidine: muutuja on selle kliendi lising, tema reserveering või tema enda DHCP-kliendi käitumine, ja kogu saiti hõlmav muudatus on vale tööriist.

Staatilised aadressid ja reserveeringud vajavad kolmandat vastust. Aadressi külge kinnitatud klienti ei päästa uuendamine, ja varuulatusega kokku põrkav reserveering tekitab duplikaadi, mis näeb välja nagu marsruutimise rike, kuni võrdlete kahte aadressiplaani.

Kirjutage väljumisprotseduur üles

Otsustage eelnevalt, milleks varulahendus on, kui kaua klient võib oma ajutist aadressi hoida ja kes tohib tööajal uuendamist sundida. Kirjutage vastus sinna, kust valveinsener selle leiab, ulatuse määratluse kõrvale. Seejärel testige seda üks kord meelega: kukutage tunnel, vaadake, mida klient saab, taastage tunnel ja kirjutage üles, kui kaua kulub kliendil tavaseadete tagasisaamiseks. See üks harjutus asendab suurema osa oletustest järgmisel korral, kui saidi link väreleb.

Lõpetage ressursi kinnitamisega, mitte aadressi. Failiserverini jõudmine, selle nime lahendamine ja internetti jõudmine on kolm eraldi kontrolli ning ainult viimane polnud kunagi kahtluse all.