Изгледа ли VPN-от на рутерот добро по прекин на струја? Проверете ги овие четири слоја

Рутерот што светнува по прекин ја обновил својата конфигурација, а не својата поврзаност. По прекин на струја, рутерот може да го обнови зачуваниот VPN профил пред зависностите што му се потребни на тој профил да бидат подготвени: модемот горе може сѐ уште да се обучува, часовникот може да биде погрешен, а автентикацијата може да не е завршена. Светилката на панелот и зачуваната конфигурација опишуваат намера, а не тунел што работи. Проверете ги четирите слоја долу по ред, наместо да го замените профилот, бидејќи тоа луѓето го прават второ и го каат прво.

Сѐ овде претпоставува дека сте на местото или имате пат за влез што не зависи од тунелот што го тестирате. Ако немате, уредете го тоа пред следниот прекин.

Прв слој: дали WAN навистина се врати

Започнете со модемот, а не со панелот на рутерот. Рутерот што го завршува подигањето пред неговиот модем да се обучи покажува здраво интерфејс без ништо зад него, а тунелот нема партнер до кого да стигне. Потврдете дека модемот навистина препраќа, потоа потврдете дека рутерот ги примил очекуваните WAN поставки. Проверете и дали WAN адресата се сменила: динамична адреса што се враќа поинаква може да поништи правило засновано на адреса или оддалечен список за дозвола, а од внатре во мрежата тоа изгледа како дефект на VPN.

Некои пристапни мрежи по прекин бараат и нов чекор за прием. Читајте го дневникот на клиентот за првата фаза на неуспех наместо да претпоставувате: првата грешка го именува слојот, а сѐ по неа е последица. Запишете ја адресата и резултатот од приемот во тикетот, бидејќи двете одлучуваат дали истиот профил ќе работи утре. Сменетата адреса е поправка од пет минути и загатка од два часа.

Втор слој: проверете го часовникот пред сертификатот

Погрешен часовник влијае на важноста на сертификатот и на сѐ временски засновано, а вграден уред што се подига без работен извор на време може некое време да остане на стар датум. Тогаш валидацијата на сертификатот паѓа поради причина што нема никаква врска со акредитивот. Грешка во важноста чии датуми се години настрана укажува на часовникот; истата грешка со тековни датуми укажува на сертификатот.

date -u
chronyc tracking

Користете го поддржаниот процес за обновување на времето и потврдете го часовникот на рутерот пред да го допрете профилот. Исклучувањето на валидацијата за да се заобиколи грешката претвора привремен проблем со редоследот во трајно ослабнување, и тоа е најчестата лоша поправка во ова сценарио. Ако уредот нема часовник на батерија, редоследот на подигање е важен: му треба мрежен пристап пред да го синхронизира времето и време пред да валидира тунел. Токму тој редослед треба да се поправи ако истиот неуспех се повторува по секој прекин.

Трет слој: прочитајте што вели тунелот

Проверете ја сопствената состојба на тунелот и резултатот од неговото ракување или автентикација, а не тоа што интерфејсот е подигнат. Интерфејс може да постои без воспоставен партнер, а клиентот може да покажува поврзаност додека обновувањето на клучевите не успее. Одвојте транспортните истеци од изречните одбивања: истекот укажува дека патот или партнерот сѐ уште не се достапни, додека одбивањето значи дека далечната страна одговорила и одбила, најчесто поради акредитив, сертификат или идентитет на партнер што веќе не се совпаѓа. Испраќање на корисникот на ресетирање лозинка поради истек ги троши попладнето на сите.

Држете ја последната позната добра конфигурација при рака за да ги споредувате полињата наместо да ги реконструирате. Ако поле се сменило, таа промена е наодот. Споредете го поле по поле со обновената, наместо да читате само обновената. Повеќето изненадувања по прекин се поле што тивко се вратило на стандардната вредност од шаблонот.

Четврт слој: тестирајте од уред долу

Отворете безопасен дозволен ресурс од клиент зад рутерот, потоа потврдете кој излез или приватна рута навистина го користел сообраќајот. Проверете DNS и секое адресно семејство што тврдите дека го покривате, бидејќи сопствената проверка на рутерот може да успее додека политиката на клиентот сѐ уште е погрешна — проверката често користи друг извор, друга табела или друг пат до разрешувачот.

curl -s https://ifconfig.me
nslookup example.com

Ако тунелот е паднат и не е само погрешно конфигуриран, одлучете дали погодените клиенти мора да бидат блокирани или смеат да користат одобрена резерва. Тој избор припаѓа на планот за префрлање пред прекин, а не на разговорна нишка за време на прекин. Запишете го забележаниот излез и разрешувачот во тикетот за прекинот. Два реда сега му заштедуваат на следниот човек еден час погодување за тоа која рута била активна во тој прозорец.

Што да се поправи за следниот прекин да биде пократок

Ако неуспехот се повторува, поправката е редослед, а не конфигурација: подигнете го WAN, потоа времето, потоа тунелот, потоа политиката на клиентот. Повеќето рутери го изразуваат тоа како зависност или доцнење, а краткото намерно доцнење е подобро од препишување на профилот.

Потоа повторете го вообичаениот тест за рестартирање откако ќе го смените, вклучително проверката на страната на клиентот. Тестот за рестартирање што гледа само во панелот на рутерот го тестира најмалку информативниот од четирите слоја.