停電後にルーターのVPNが正常に見える？この四つの層を確認する

停電後にライトが点くルーターは、設定を復元しただけで、接続を復元したわけではありません。停電後、ルーターは保存されたVPNプロファイルを復元することがありますが、そのプロファイルが必要とする依存関係はまだ準備できていないことがあります。上流のモデムがまだトレーニング中であったり、時計がずれていたり、認証が完了していなかったりします。ダッシュボードのライトと保存された設定は意図を表すもので、機能するトンネルを表すものではありません。プロファイルを交換するのではなく、以下の四つの層を順に確認してください。人はこれを二番目にやり、一番目に後悔します。

ここではすべて、あなたが現場にいるか、 テストしているトンネルに依存しない入口があることを前提としています。ない場合は、次の停電の前に用意してください。

第一層：WANは本当に戻っているか

ルーターのダッシュボードではなく、モデムから始めます。モデムがトレーニングを終える前に起動を完了したルーターは、背後に何もないのに正常なインターフェースを表示し、トンネルには到達できる相手がいません。モデムが実際に転送していることを確認し、次にルーターが想定どおりのWAN設定を取得したことを確認します。WANアドレスが変わっていないかも確認してください。動的アドレスが別の値で戻ると、アドレスベースのルールやリモート許可リストが無効になり、ネットワークの内側からはVPNの障害のように見えます。

一部のアクセスネットワークでは、停電後に新しい受け入れ手順が必要になります。推測せずに、クライアントのログで最初の失敗段階を読みます。最初のエラーが層を示し、それ以降はすべて結果です。チケットにアドレスと受け入れ結果を記録してください。どちらも同じプロファイルが明日機能するかどうかを左右します。アドレスの変化は五分の修正と二時間の謎です。

第二層：証明書より先に時計を確認する

時計がずれていると、証明書の有効性と時間に依存するすべてのものに支障が出ます。動作する時刻源なしで起動する組み込み機器は、しばらく古い日付のままになることがあります。すると証明書の検証は、資格情報とは無関係な理由で失敗します。日付が何年もずれている有効性エラーは時計を示し、同じエラーが現在の日付なら証明書を示します。

date -u
chronyc tracking

サポートされている時刻復元の手順を使い、プロファイルに触れる前にルーターの時計を確認します。エラーを回避するために検証を無効にすると、一時的な順序の問題が恒久的な弱体化に変わり、このシナリオで最もよくある悪い修正です。バッテリー式の時計がない機器では起動順序が重要です。時刻を同期する前にネットワークアクセスが必要で、トンネルを検証する前に時刻が必要です。停電のたびに同じ失敗が繰り返されるなら、直すべきはその順序です。

第三層：トンネルが何を言っているかを読む

インターフェースが上がっているかではなく、トンネル自体の状態と、ハンドシェイクまたは認証の結果を確認します。相手が確立していなくてもインターフェースは存在でき、鍵の更新が失敗していてもクライアントは接続済みと表示できます。トランスポートのタイムアウトと明示的な拒否を区別してください。タイムアウトは経路や相手にまだ到達できないことを示し、拒否は遠端が応答して断ったことを意味し、多くの場合は資格情報、証明書、または一致しなくなった相手の身元が原因です。タイムアウトで利用者をパスワード再設定に送るのは、全員の午後を無駄にします。

最後に確認できた正常な設定を手元に置き、フィールドを再構築するのではなく比較します。フィールドが変わっていれば、その変化が発見です。復元されたものだけを読むのではなく、フィールドごとに比較してください。停電後の驚きのほとんどは、テンプレートの既定値に静かに戻ったフィールドです。

第四層：下流の端末からテストする

ルーターの背後にあるクライアントから無害な許可済みリソースを開き、トラフィックが実際にどの出口またはプライベートルートを使ったかを確認します。DNSと、カバーすると称する各アドレスファミリーを確認してください。ルーター自身の検査は成功してもクライアントポリシーがまだ間違っていることがあり、検査は多くの場合、別のソース、別のテーブル、別のリゾルバ経路を使います。

curl -s https://ifconfig.me
nslookup example.com

トンネルが停止していて、単なる設定ミスではない場合、影響を受けるクライアントをブロックするのか、承認された代替手段を使わせるのかを決めます。その選択は停電前のフェイルオーバー計画に属し、停電中のチャットのやり取りに属しません。観測した出口とリゾルバを停電チケットに書いてください。今の二行が、その時間帯にどの経路が有効だったかという次の担当者の一時間の推測を省きます。

次の停電を短くするために直すこと

失敗が繰り返されるなら、修正は設定ではなく順序です。WANを上げ、次に時刻、次にトンネル、次にクライアントポリシーです。ほとんどのルーターはこれを依存関係や遅延として表現し、短い意図的な遅延はプロファイルの書き直しに勝ります。

変更したら、クライアント側の確認も含めて通常の再起動テストを繰り返します。ルーターのダッシュボードだけを見る再起動テストは、四つの層の中で最も情報の少ない層をテストしています。