Nieuwe router, dezelfde VPN-server: verplaats de openbare ingang

Je sluit de nieuwe router aan, het internet komt terug, en de VPN-client op je telefoon wijst nog steeds naar een adres dat niet meer antwoordt. Op de VPN-server is niets veranderd, want de server is nooit verhuisd. De router was het openbare toegangspunt, en het vervangen ervan verving het adres, de doorstuurregel en mogelijk de updater voor dynamische DNS tegelijk.

Behandel de wissel als twee overdrachten, niet één, en houd tijdens het werk een lokale route naar de beheerinterface open.

Schrijf de overdracht op voordat je loskoppelt

Noteer het LAN-prefix, het serveradres en hoe het wordt toegewezen, de listener en het transport dat de VPN echt gebruikt, de inkomende regel die hem publiceert, en de naam die clients hebben opgeslagen. Noteer daarna welke machine vandaag de dynamische DNS-record bijwerkt: dat kan de router zijn, de server zelf of een aparte agent op een andere host. Doe dit terwijl de oude beheerpagina’s nog laden. Een schermafbeelding van de inkomende regel is beter dan een onthouden poortnummer.

Voeg de privéprefixen toe die clients moeten bereiken, en hoe apparaten op het LAN antwoorden daarheen terugsturen. Beide worden makkelijk vergeten, omdat de vervangingswizard over internettoegang spreekt en niet over retourpaden. Exporteer ook de oude configuratie als de fabrikant het herstellen ervan ondersteunt, terwijl je accepteert dat een back-up van het ene model zelden schoon in een ander wordt geïmporteerd.

Bewaar die notitie op een beschermde plek. Een routerback-up kan inloggegevens voor de WAN-verbinding bevatten. Behandel het exportbestand als een wachtwoord en niet als een notitie over instellingen.

Verplaats eerst het adres, dan de doorsturing

Als de nieuwe router hetzelfde LAN-prefix houdt, geef de server dan de reservering die hij had, of een gelijkwaardige statische toewijzing. Verandert het prefix, werk dan eerst het serveradres bij en elke listenerbinding die het noemt, want een doorsturing naar het oude adres stuurt verkeer stil nergens heen.

Maak daarna precies één inkomende regel voor het transport dat de VPN gebruikt. Fabrikantgidsen die doorsturen naar een lokale server beschrijven, tonen het mechanisme en niet een universeel recept, dus stem de regel af op je werkelijke protocol en poort en niet op een lijst uit een blog. Een doorsturing op de nieuwe router kan de carrier-grade NAT erboven niet weghalen, en geen lokale regel maakt een privéadres bereikbaar vanaf internet als de provider er al een met je deelt.

Controleer dat de firewall van de server zelf dat verkeer nog toestaat. Kijk of er een tweede gateway tussen de router en het internet zit, want veel providers leveren een gecombineerde modem en router. Lees het WAN-adres op het nieuwe apparaat en vergelijk het met het adres dat clients opzoeken. Als die verschillen, landt je doorsturing op iets dat niet de rand is.

Bepaal wie de openbare naam bijwerkt

Bijwerkingen van het eindpunt vragen één eigenaar en slechts één. Als de oude router de naam publiceerde, configureer dan een ondersteunde updater op de vervanging en bevestig dat de record echt is gewijzigd. Als de server hem al publiceerde, laat die regeling dan met rust in plaats van een concurrerende updater toe te voegen die tussen twee adressen heen en weer slingert.

Wanneer de uitrol beide adresfamilies publiceert, lees dan zowel de A- als de AAAA-record. Elk moet wijzen naar een dienst die echt luistert en die via zijn eigen firewallpad is toegestaan, en een werkende IPv4-mapping zegt niets over de IPv6-kant. Houd ook de identiteitscontroles in het clientprofiel: een gewijzigd openbaar adres is geen reden om een certificaat of peersleutel te accepteren die niet past.

Bewijs de wissel van buitenaf

Test met een geautoriseerde externe verbinding en een nieuwe sessie, niet van binnen het LAN. Een interne test tegen het openbare adres hangt af van hairpin-gedrag en gaat een andere route dan een echte client.

Volg de volgorde die een client volgt: los de naam op, onderhandel de tunnel, authenticeer, en voer dan één bewerking uit tegen een privébron. Juist die laatste stap slaan mensen over, en alleen die bewijst het retourpad. Als de login lukt maar de privébewerking mislukt, vergelijk dan het nieuwe LAN-prefix, de routes die de client koos en het antwoordpad van de bron met je overdrachtsnotities.

Pas als alle vier de stappen slagen, is de oude router veilig buiten gebruik te stellen. Koppel hem los en herhaal daarna de externe test nog één keer. Een verouderde record die nog naar het oude adres verwijst, faalt al bij de allereerste stap, en dat is makkelijker te diagnosticeren terwijl het oude apparaat nog in de kast staat.

Bewaar de nieuwe mapping bij je herstelnotities

Archiveer de definitieve servertoewijzing, de inkomende regel en de naam van de updater-eigenaar naast de procedure om de router lokaal te bereiken. De volgende vervanging moet van die pagina beginnen en niet van een traceroute.

Als de tunnel na alles hierboven nog van buitenaf faalt, controleer dan of het openbare adres dat de router meldt overeenkomt met dat wat clients opzoeken. Die ene vergelijking scheidt een DNS-probleem van een doorsturingsprobleem, en het kost minder tijd dan nog een gids over port forwarding lezen.