Ruuteri VPN näib pärast katkestust korras? Kontrollige neid nelja kihti

Ruuter, mis pärast katkestust põlema läheb, on taastanud oma konfiguratsiooni, mitte ühenduse. Pärast voolukatkestust võib ruuter taastada salvestatud VPN-profiili enne, kui selle profiili jaoks vajalikud sõltuvused on valmis: ülaltoodud modem võib alles treenida, kell võib olla vale ja autentimine võib olla lõpetamata. Paneeli tuli ja salvestatud konfiguratsioon kirjeldavad kavatsust, mitte töötavat tunnelit. Kontrollige allolevaid nelja kihti järjekorras, selle asemel et profiili välja vahetada, sest seda teevad inimesed teise asjana ja kahetsevad esimesena.

Kõik siin eeldab, et olete kohapeal või teil on sissepääsutee, mis ei sõltu tunnelist, mida testite. Kui ei ole, korraldage see enne järgmist katkestust.

Esimene kiht: kas WAN on tõesti tagasi

Alustage modemist, mitte ruuteri paneelist. Ruuter, mis lõpetab käivitumise enne, kui selle modem on treeninud, näitab tervet liidest, mille taga pole midagi, ja tunnelil pole kedagi, kelleni jõuda. Kinnitage, et modem tõesti edastab, seejärel kinnitage, et ruuter võttis oodatud WAN-seaded. Kontrollige ka, kas WAN-i aadress muutus: dünaamiline aadress, mis naaseb erinevana, võib muuta kehtetuks aadressipõhise reegli või kaugloa nimekirja, ja võrgu seest näeb see välja nagu VPN-i rike.

Mõned juurdepääsuvõrgud nõuavad pärast katkestust ka uut vastuvõtusammu. Lugege kliendi logi esimese rikkefaasi kohta, selle asemel et oletada: esimene viga nimetab kihi ja kõik pärast seda on tagajärg. Kirjutage aadress ja vastuvõtu tulemus piletisse, sest mõlemad otsustavad, kas sama profiil homme töötab. Muutunud aadress on viie minuti parandus ja kahetunnine mõistatus.

Teine kiht: kontrollige kella enne sertifikaati

Vale kell segab sertifikaadi kehtivust ja kõike ajapõhist, ning manustatud seade, mis käivitub ilma toimiva ajaallikata, võib mõnda aega vanal kuupäeval seista. Sertifikaadi valideerimine ebaõnnestub siis põhjusel, millel pole volitusega mingit pistmist. Kehtivusviga, mille kuupäevad on aastaid mööda, osutab kellale; sama viga praeguste kuupäevadega osutab sertifikaadile.

date -u
chronyc tracking

Kasutage toetatud aja taastamise protsessi ja kinnitage ruuteri kell enne, kui profiili puudutate. Valideerimise väljalülitamine veast möödumiseks muudab ajutise järjekorraprobleemi püsivaks nõrgestamiseks ja on selles stsenaariumis kõige levinum halb parandus. Kui seadmel pole akutoitel kella, on käivitumisjärjekord oluline: see vajab võrguühendust enne aja sünkroonimist ja aega enne tunneli valideerimist. Just seda järjekorda tuleb parandada, kui sama rike kordub pärast iga katkestust.

Kolmas kiht: lugege, mida tunnel ütleb

Kontrollige tunneli enda olekut ja selle kätlemise või autentimise tulemust, mitte seda, et liides on üleval. Liides võib eksisteerida ilma loodud vastaspoleta ja klient võib näidata ühendust, samal ajal kui võtmeuuendus ebaõnnestub. Eristage transpordi aegumisi selgetest tagasilükkamistest: aegumine viitab, et tee või vastaspool pole veel kättesaadav, samas kui tagasilükkamine tähendab, et kaugots vastas ja keeldus, kõige sagedamini volituste, sertifikaadi või vastaspoole identiteedi tõttu, mis enam ei klapi. Kasutaja saatmine parooli lähtestamisele aegumise tõttu raiskab kõigi pärastlõuna.

Hoidke viimast teadaolevalt head konfiguratsiooni käepärast, et välju võrrelda, mitte neid uuesti luua. Kui väli muutus, on see muutus leid. Võrrelge seda välja haaval taastatud konfiguratsiooniga, selle asemel et lugeda ainult taastatut. Enamik pärast katkestust tekkivaid üllatusi on väli, mis vaikselt naasis mallivaikimisi väärtusele.

Neljas kiht: testige allavoolu seadmest

Avage ohutu lubatud ressurss ruuteri taga olevast kliendist, seejärel kinnitage, millist väljapääsu või privaatset marsruuti liiklus tegelikult kasutas. Kontrollige DNS-i ja iga aadressiperekonda, mida väidate katvat, sest ruuteri enda sond võib õnnestuda, samal ajal kui kliendipoliitika on veel vale — sond kasutab sageli teist allikat, teist tabelit või teist lahendaja teed.

curl -s https://ifconfig.me
nslookup example.com

Kui tunnel on maas ja mitte lihtsalt valesti seadistatud, otsustage, kas mõjutatud kliendid tuleb blokeerida või tohivad nad kasutada kinnitatud varuvõimalust. See valik kuulub ümberlülitusplaani enne katkestust, mitte vestluslõime katkestuse ajal. Kirjutage täheldatud väljapääs ja lahendaja katkestuse piletisse. Kaks rida säästavad nüüd järgmisel inimesel tunni oletamist, milline tee oli akna ajal aktiivne.

Mida parandada, et järgmine katkestus oleks lühem

Kui rike kordub, on parandus järjekord, mitte konfiguratsioon: tõstke WAN üles, seejärel aeg, seejärel tunnel, seejärel kliendipoliitika. Enamik ruutereid väljendab seda sõltuvuse või viivitusena ning lühike tahtlik viivitus on parem kui profiili ümberkirjutamine.

Seejärel korrake tavalist taaskäivitustesti pärast muudatust, sealhulgas kliendipoolset kontrolli. Taaskäivitustest, mis vaatab ainult ruuteri paneeli, testib neljast kihist kõige vähem informatiivset.