VPN na usmjerivaču izgleda ispravno nakon prekida? Provjerite ova četiri sloja

Usmjerivač koji zasvijetli nakon prekida vratio je svoju konfiguraciju, a ne svoju povezanost. Nakon nestanka struje usmjerivač može vratiti spremljeni VPN profil prije nego što zavisnosti koje taj profil treba budu spremne: modem uzvodno možda se još uvježbava, sat može biti pogrešan, a autentifikacija možda nije dovršena. Lampica na nadzornoj ploči i spremljena konfiguracija opisuju namjeru, a ne tunel koji radi. Provjerite četiri sloja ispod redom umjesto da mijenjate profil, jer to ljudi rade drugo i kaju se prvo.

Sve ovdje pretpostavlja da ste na mjestu ili imate put unutra koji ne ovisi o tunelu koji testirate. Ako nemate, riješite to prije sljedećeg prekida.

Prvi sloj: je li se WAN doista vratio

Počnite s modemom, a ne s nadzornom pločom usmjerivača. Usmjerivač koji završi podizanje prije nego što se njegov modem uvježbao prikazuje zdravo sučelje bez ičega iza njega, a tunel nema s kim se povezati. Potvrdite da modem doista prosljeđuje, pa potvrdite da je usmjerivač preuzeo WAN postavke koje očekujete. Provjerite i je li se WAN adresa promijenila: dinamička adresa koja se vrati drugačija može poništiti pravilo temeljeno na adresi ili udaljeni popis dopuštenja, a iznutra to izgleda kao kvar VPN-a.

Neke pristupne mreže nakon prekida traže i novi korak prijama. Čitajte klijentski dnevnik za prvu fazu neuspjeha umjesto da nagađate: prva pogreška imenuje sloj, a sve poslije nje posljedica je. Zapišite adresu i rezultat prijama u tiket, jer oboje odlučuje hoće li isti profil raditi sutra. Promijenjena adresa popravak je od pet minuta i misterij od dva sata.

Drugi sloj: provjerite sat prije certifikata

Pogrešan sat smeta valjanosti certifikata i svemu što ovisi o vremenu, a ugrađeni uređaj koji se podigne bez ispravnog izvora vremena može neko vrijeme stajati na starom datumu. Validacija certifikata tada pada zbog razloga koji nema veze s vjerodajnicom. Pogreška valjanosti čiji su datumi godinama pomaknuti upućuje na sat; ista pogreška s trenutačnim datumima upućuje na certifikat.

date -u
chronyc tracking

Upotrijebite podržani postupak oporavka vremena i potvrdite sat usmjerivača prije nego što dirnete profil. Isključivanje validacije da se zaobiđe pogreška pretvara privremeni problem s redoslijedom u trajno slabljenje, i to je najčešći loš popravak u ovom scenariju. Ako uređaj nema sat na bateriju, redoslijed podizanja je važan: potreban mu je mrežni pristup prije nego što sinkronizira vrijeme, i vrijeme prije nego što validira tunel. Taj redoslijed treba popraviti ako se isti neuspjeh ponavlja nakon svakog prekida.

Treći sloj: pročitajte što tunel kaže

Provjerite vlastito stanje tunela i rezultat njegova rukovanja ili autentifikacije, a ne to da je sučelje podignuto. Sučelje može postojati bez uspostavljenog partnera, a klijent može pokazivati povezanost dok obnavljanje ključeva ne uspijeva. Razdvojite transportne rokove od izričitih odbijanja: rok upućuje na to da put ili partner još nije dostupan, dok odbijanje znači da je druga strana odgovorila i odbila, najčešće zbog vjerodajnica, certifikata ili identiteta partnera koji se više ne podudara. Slanje korisnika na poništenje lozinke zbog roka svima kvari poslijepodne.

Držite posljednju poznatu ispravnu konfiguraciju pri ruci da biste uspoređivali polja umjesto da ih rekonstruirate. Ako se polje promijenilo, ta je promjena nalaz. Usporedite ga polje po polje s vraćenom konfiguracijom, umjesto da čitate samo vraćenu. Većina iznenađenja nakon prekida jest polje koje se tiho vratilo na zadanu vrijednost predloška.

Četvrti sloj: testirajte s uređaja nizvodno

Otvorite bezopasan dopušten izvor s klijenta iza usmjerivača, pa potvrdite koji je izlaz ili privatnu rutu promet doista koristio. Provjerite DNS i svaku obitelj adresa za koju tvrdite da je pokrivate, jer vlastita sonda usmjerivača može uspjeti dok je klijentska politika još pogrešna — sonda često rabi drugi izvor, drugu tablicu ili drugi put do razrješivača.

curl -s https://ifconfig.me
nslookup example.com

Ako je tunel pao i nije samo pogrešno konfiguriran, odlučite moraju li pogođeni klijenti biti blokirani ili smiju rabiti odobreni rezervni put. Taj izbor pripada planu prebacivanja prije prekida, a ne chat niti tijekom prekida. Upišite uočeni izlaz i razrješivač u tiket o prekidu. Dva retka sada štede sljedećoj osobi sat nagađanja o tome koja je putanja bila aktivna tijekom razdoblja.

Što popraviti da sljedeći prekid bude kraći

Ako se neuspjeh ponavlja, popravak je redoslijed, a ne konfiguracija: podignite WAN, pa vrijeme, pa tunel, pa klijentsku politiku. Većina usmjerivača to izražava kao zavisnost ili odgodu, a kratka namjerna odgoda bolja je od prepisivanja profila.

Zatim ponovite uobičajeni test ponovnog pokretanja nakon promjene, uključujući provjeru na strani klijenta. Test ponovnog pokretanja koji gleda samo nadzornu ploču usmjerivača testira najmanje informativni od četiri sloja.