Router baru, server VPN sama: pindahkan pintu masuk publiknya

Anda memasang router baru, internet kembali, dan klien VPN di ponsel masih menunjuk ke alamat yang tidak lagi menjawab. Tidak ada yang berubah di server VPN, karena server itu tidak pernah pindah. Router adalah titik masuk publik, dan menggantinya mengganti alamat, aturan penerusan, dan mungkin pembaru DNS dinamis sekaligus.

Perlakukan penggantian sebagai dua serah terima, bukan satu, dan pertahankan jalur lokal ke antarmuka admin selama bekerja.

Tulis serah terima sebelum melepas kabel

Catat prefiks LAN, alamat server dan cara penetapannya, pendengar serta transport yang benar-benar dipakai VPN, aturan masuk yang mempublikasikannya, dan nama yang disimpan klien. Lalu catat mesin mana yang memperbarui catatan DNS dinamis hari ini: bisa router, server itu sendiri, atau agen terpisah di host lain. Lakukan ini selagi halaman admin lama masih dimuat. Tangkapan layar aturan masuk lebih baik daripada nomor port yang diingat.

Tambahkan prefiks privat yang harus dijangkau klien, dan cara perangkat di LAN mengirim balasan kembali ke sana. Keduanya mudah dilupakan karena wizard penggantian berbicara tentang akses internet, bukan jalur balik. Ekspor juga konfigurasi lama jika vendor mendukung pemulihannya, sambil menerima bahwa cadangan dari satu model jarang diimpor bersih ke model lain.

Simpan catatan itu di tempat terlindungi. Cadangan router bisa berisi kredensial untuk tautan WAN. Perlakukan berkas ekspor seperti kata sandi, bukan seperti catatan pengaturan.

Pindahkan alamat dulu, baru penerusan

Jika router baru mempertahankan prefiks LAN yang sama, beri server reservasi yang dulu dimilikinya atau penetapan statis yang setara. Jika prefiks berubah, perbarui dulu alamat server dan setiap pengikatan pendengar yang menyebutnya, karena penerusan yang menunjuk alamat lama akan mengirim lalu lintas diam-diam ke entah mana.

Lalu buat tepat satu aturan masuk untuk transport yang dipakai VPN. Panduan pabrikan yang menjelaskan penerusan ke server lokal menunjukkan mekanismenya, bukan resep universal, jadi petakan aturan itu ke protokol dan port Anda yang sebenarnya, bukan ke daftar dari blog. Penerusan di router baru tidak dapat menghapus NAT tingkat operator yang berada di atasnya, dan tidak ada aturan lokal yang membuat alamat privat terjangkau dari internet jika penyedia sudah berbagi satu dengan Anda.

Pastikan firewall server itu sendiri masih mengizinkan lalu lintas tersebut. Periksa apakah ada gateway kedua di antara router dan internet, karena banyak penyedia memberikan modem dan router gabungan. Baca alamat WAN pada perangkat baru dan bandingkan dengan alamat yang diresolusi klien. Jika berbeda, penerusan Anda mendarat pada sesuatu yang bukan tepi.

Putuskan siapa yang memperbarui nama publik

Pembaruan titik akhir memerlukan satu pemilik dan hanya satu. Jika router lama mempublikasikan nama itu, konfigurasikan pembaru yang didukung di penggantinya dan pastikan catatannya benar-benar berubah. Jika server sudah mempublikasikannya, biarkan pengaturan itu apa adanya daripada menambahkan pembaru pesaing yang berayun antara dua alamat.

Ketika penerapan mempublikasikan kedua keluarga alamat, baca catatan A dan catatan AAAA. Masing-masing harus menunjuk ke layanan yang benar-benar mendengarkan dan diizinkan melalui jalur firewallnya sendiri, dan pemetaan IPv4 yang berfungsi tidak mengatakan apa pun tentang sisi IPv6. Pertahankan juga pemeriksaan identitas di profil klien: alamat publik yang berubah bukan alasan menerima sertifikat atau kunci rekan yang tidak cocok.

Buktikan penggantian dari luar

Uji dengan koneksi eksternal yang diizinkan dan sesi baru, bukan dari dalam LAN. Uji internal terhadap alamat publik bergantung pada perilaku hairpin dan menempuh jalur berbeda dari yang akan dilalui klien sungguhan.

Ikuti urutan yang diikuti klien: resolusi nama, negosiasi terowongan, autentikasi, lalu satu operasi terhadap sumber daya privat. Langkah terakhir itulah yang dilewati orang, dan hanya langkah itu yang membuktikan jalur balik. Jika login berhasil tetapi operasi privat gagal, bandingkan prefiks LAN baru, rute yang dipilih klien, dan jalur balasan sumber daya dengan catatan serah terima Anda.

Hanya setelah keempat langkah lolos, router lama aman untuk dipensiunkan. Lepaskan kabelnya, lalu ulangi uji eksternal sekali lagi. Catatan basi yang masih diresolusi ke alamat lama gagal pada langkah pertama, dan itu lebih mudah didiagnosis selagi perangkat lama masih di rak.

Simpan pemetaan baru bersama catatan pemulihan Anda

Arsipkan penetapan akhir server, aturan masuk, dan nama pemilik pembaruan di samping prosedur untuk mencapai router secara lokal. Penggantian berikutnya sebaiknya dimulai dari halaman itu, bukan dari traceroute.

Jika terowongan masih gagal dari luar setelah semua hal di atas, periksa apakah alamat publik yang dilaporkan router cocok dengan yang diresolusi klien. Satu perbandingan itu memisahkan masalah DNS dari masalah penerusan, dan makan waktu lebih sedikit daripada membaca panduan penerusan port lain.