A VPN do router parece correcta despois dun corte? Comprobe estas catro capas

Un router que se acende despois dun corte restaurou a súa configuración, non a súa conectividade. Despois dun corte de luz, un router pode restaurar o seu perfil de VPN gardado antes de que estean listas as dependencias que ese perfil necesita: o módem de augas arriba pode seguir adestrándose, o reloxo pode estar mal e a autenticación pode non completarse. A luz do panel e a configuración gardada describen a intención, non un túnel que funcione. Comprobe as catro capas seguintes en orde en lugar de substituír o perfil, que é o que a xente fai en segundo lugar e lamenta en primeiro.

Todo isto supón que está no lugar ou ten unha vía de acceso que non dependa do túnel que está a probar. Se non a ten, organíceo antes do próximo corte.

Primeira capa: volveu realmente o WAN

Comece polo módem, non polo panel do router. Un router que remata de arrincar antes de que o seu módem se adestrara mostra unha interface sa sen nada detrás, e o túnel non ten ningún par a que chegar. Confirme que o módem reenvía de verdade e despois confirme que o router colleu a configuración de WAN que espera. Comprobe tamén se a dirección WAN cambiou: unha dirección dinámica que volve distinta pode invalidar unha regra baseada en dirección ou unha lista de permitidos remota, e desde dentro da rede iso parece un fallo da VPN.

Algunhas redes de acceso tamén esixen un paso de admisión novo despois dun corte. Lea o rexistro do cliente para a primeira etapa de fallo en lugar de adiviñar: o primeiro erro nomea a capa, e todo o que vén despois é consecuencia. Anote a dirección e o resultado da admisión no ticket, porque ambos deciden se o mesmo perfil funcionará mañá. Unha dirección cambiada é un arranxo de cinco minutos e un misterio de dúas horas.

Segunda capa: comprobe o reloxo antes do certificado

Un reloxo incorrecto interfire na validez do certificado e en todo o que depende do tempo, e un dispositivo integrado que arrinca sen unha fonte de tempo operativa pode quedar cunha data antiga un anaco. Entón a validación do certificado falla por un motivo que non ten nada que ver coa credencial. Un erro de validez cuxas datas se desvían anos sinala o reloxo; o mesmo erro con datas actuais sinala o certificado.

date -u
chronyc tracking

Use o proceso de recuperación de tempo admitido e confirme o reloxo do router antes de tocar o perfil. Desactivar a validación para pasar o erro converte un problema temporal de orde nun debilitamento permanente, e é o arranxo malo máis común neste escenario. Se o dispositivo non ten reloxo con batería, a orde de arrinque importa: necesita acceso á rede antes de sincronizar a hora, e hora antes de validar un túnel. Ese é a orde que hai que arranxar se o mesmo fallo se repite despois de cada corte.

Terceira capa: lea o que di o túnel

Comprobe o estado propio do túnel e o resultado do seu aperto de mans ou autenticación, non que a interface estea levantada. Unha interface pode existir sen un par establecido, e un cliente pode mostrarse conectado mentres falla a renovación de claves. Separe os tempos de espera de transporte dos rexeitamentos explícitos: un tempo de espera suxire que a ruta ou o par aínda non son alcanzables, mentres que un rexeitamento significa que o extremo remoto respondeu e negouse, a miúdo por credenciais, un certificado ou unha identidade de par que xa non coincide. Enviar o usuario a restablecer o contrasinal por un tempo de espera fai perder a tarde a todos.

Teña á man a última configuración boa coñecida para comparar campos en lugar de reconstruílos. Se un campo cambiou, ese cambio é o achado. Compáreo campo por campo coa restaurada en lugar de ler só a restaurada. A maioría das sorpresas despois dun corte son un campo que volveu en silencio a un valor predeterminado de modelo.

Catro capa: probe desde un dispositivo posterior

Abra un recurso permitido e inofensivo desde un cliente detrás do router e despois confirme que saída ou ruta privada usou realmente o tráfico. Comprobe o DNS e cada familia de direccións que di cubrir, porque a sonda do propio router pode ter éxito mentres a política do cliente segue sendo incorrecta — a sonda adoita usar outra fonte, outra táboa ou outra ruta de resolución.

curl -s https://ifconfig.me
nslookup example.com

Se o túnel está caído e non só mal configurado, decida se os clientes afectados deben bloquearse ou poden usar unha alternativa aprobada. Esa elección pertence ao plan de conmutación por erro antes dun corte, non a un fío de chat durante un. Escriba a saída e o resolutor observados no ticket do corte. Dúas liñas agora aforran á seguinte persoa unha hora de conxecturas sobre que ruta estivo activa durante a ventá.

Que arranxar para que o próximo corte sexa máis curto

Se o fallo se repite, o arranxo é a orde, non a configuración: suba o WAN, logo a hora, logo o túnel, logo a política do cliente. A maioría dos routers exprésano como unha dependencia ou un atraso, e un atraso breve e deliberado supera a reescribir o perfil.

Despois repita a proba normal de reinicio unha vez cambiado, incluída a comprobación do lado do cliente. Unha proba de reinicio que só mira o panel do router proba a capa menos informativa das catro.