新しいルーター、同じVPNサーバー：公開入口を移す

新しいルーターを接続するとインターネットは戻りますが、スマートフォンのVPNクライアントは応答しないアドレスを指したままで、VPNサーバー側では何も変わっていません。サーバーは一度も移動していないからです。ルーターが公開入口であり、その交換はアドレス、転送ルール、そしておそらくダイナミックDNSの更新プログラムを同時に置き換えました。

交換は一つではなく二つの引き継ぎとして扱い、作業中は管理画面へのローカルな経路を確保しておきます。

ケーブルを抜く前に引き継ぎを書き出す

LANのプレフィックス、サーバーのアドレスとその割り当て方法、VPNが実際に使うリスナーとトランスポート、それを公開する受信ルール、クライアントが保存した名前を記録します。次に、今日ダイナミックDNSのレコードを更新しているのはどのマシンかを書きます。ルーターかもしれませんし、サーバー自身かもしれませんし、別ホストの独立したエージェントかもしれません。古い管理画面がまだ読み込めるうちに行い、受信ルールの画面写真は覚えているポート番号より確かです。

クライアントが到達すべきプライベートなプレフィックスと、LAN上の機器がそこへ応答を返す方法も加えます。どちらも忘れがちなのは、交換ウィザードがインターネット接続の話をし、戻りの経路には触れないからです。ベンダーが復元をサポートしていれば古い設定も書き出しますが、ある機種のバックアップが別の機種にきれいに読み込まれることはまれだと受け入れておきます。

その記録は保護された場所に保管します。ルーターのバックアップにはWAN回線の認証情報が含まれることがあります。書き出したファイルは設定メモではなくパスワードのように扱います。

まずアドレスを移し、次に転送を移す

新しいルーターが同じLANプレフィックスを保つなら、サーバーには以前の予約か同等の固定割り当てを与えます。古いアドレスを指す転送は通信を静かにどこにも送らないので、プレフィックスが変わるならまずサーバーのアドレスとそれを名指すリスナーのバインドを更新します。

そのうえで、VPNが使うトランスポートに対して受信ルールをちょうど一つ作り直します。ローカルサーバーへの転送を説明する製造元のガイドが示すのは仕組みであり、万能の手順ではないので、ルールはブログの一覧ではなく、実際のプロトコルとポートに合わせます。新しいルーターの転送は、その上流にある事業者グレードのNATを外せませんし、事業者がすでに一つのアドレスを共有しているなら、ローカルのルールでプライベートアドレスをインターネットから到達可能にはできません。

サーバー自身のファイアウォールが今もその通信を許可していることを確認します。多くの事業者はモデムとルーターを一体で渡すため、その間に二つ目のゲートウェイが座っていないか調べます。新しい機器のWANアドレスを読み、クライアントが解決するアドレスと比べます。両者が違うなら、転送は端ではない何かに着地しています。

公開名を誰が更新するかを決める

エンドポイントの更新には所有者が一人だけ必要です。古いルーターが名前を公開していたなら、代替機で対応する更新プログラムを設定し、レコードが実際に変わったことを確認します。サーバーがすでに公開していたなら、二つのアドレスの間で揺れる競合する更新プログラムを足すのではなく、その体制をそのままにします。

配備が両方のアドレスファミリーを公開するなら、AレコードとAAAAレコードの両方を読みます。それぞれが本当に待ち受け、自分のファイアウォール経路で許可されたサービスを指している必要があり、動くIPv4の対応はIPv6側について何も語りません。クライアントプロファイルの本人確認も保ち、公開アドレスが変わったことは一致しない証明書やピア鍵を受け入れる理由にはなりません。

外部から交換を証明する

LANの内側からではなく、許可された外部接続と新しいセッションで試します。公開アドレスに対する内側からの試験はヘアピン動作に依存し、実際のクライアントが通る経路とは別の経路を通ります。

クライアントがたどる順序に従い、名前を解決し、トンネルを交渉し、認証し、そのうえでプライベートな資源に対して操作を一つ実行します。人に見落とされがちなのはまさに最後の段階で、戻りの経路を証明するのはそれだけです。ログインは成功するのにプライベートな操作が失敗するなら、新しいLANプレフィックス、クライアントが選んだ経路、資源の応答経路を引き継ぎメモと突き合わせます。

四つの段階をすべて通過してから、古いルーターを退役させて安全です。電源を切り、そのうえでもう一度外部試験を繰り返します。古いアドレスへ今も解決される古いレコードは最初の段階で失敗し、古い機器がまだ棚にあるうちのほうが診断は容易です。

新しい対応表を復旧メモと一緒に保管する

最終的なサーバーの割り当て、受信ルール、更新の所有者の名前を、ルーターへローカルに到達する手順の隣に保管します。次の交換はtracerouteからではなく、そのページから始めるべきです。

以上のすべての後でも外部からトンネルが失敗するなら、ルーターが報告する公開アドレスがクライアントの解決するアドレスと一致するかを調べます。その一つの比較がDNSの問題と転送の問題を分け、別のポート転送ガイドを読むより短い時間で済みます。