Reservleases etter at nettstedstunnelen kommer tilbake: fornye eller vente?

Nettstedskoblingen er oppe, tunnelen er etablert, og PC-ene på filialen når fortsatt ikke filserveren. Under avbruddet gikk det to klokker, og bare én av dem er ferdig. Tunnelen ble gjenopprettet da den krypterte veien kom tilbake; adressen til hver klient gjenopprettes når den gjeldende leasen utløper eller erstattes. Å sammenligne de to tidslinjene forklarer gapet raskere enn å lese brannmurlogger.

To klokker, og én av dem er ikke tunnelen

Med DHCP over VPN pluss en lokal reserve kan enheten dele ut midlertidige lokale leases mens den eksterne DHCP-veien ikke er tilgjengelig. Den midlertidige varigheten telles vanligvis i minutter, som er kort nok til å skjule problemet og langt nok til å overleve et kort avbrudd. Når tunnelen kommer tilbake, slutter reserven å tilby disse leasene. Den går ikke inn i en klient og kansellerer leasen den allerede har. Klienten beholder adressen, masken, gatewayen og resolveren sin til fornyelse eller utløp, og derfor kan en sunn tunnel og en ødelagt maskin leve side om side resten av leasen.

Hold implementasjonen og programvareversjonen knyttet til denne uttalelsen. Timernavn og standardverdier varierer mellom SonicOS-utgivelser, og et eldre grensesnitt beviser ikke hva et nyere gjør.

Sammenlign de to gjenopprettingstrinnene

Trinn A er å vente. Det koster ingenting, risikerer ingenting og lar hver klient fornye etter sin egen plan. Trinn B er å tvinge en frigivelse og fornyelse på den berørte klienten, noe som gir den tiltenkte adressen med en gang, men avbryter alt klienten holder på med. På én enkelt maskin er den tvungne fornyelsen vanligvis den raskeste veien og lett å begrunne. I et laboratorium eller på en kasseterminal midt i en transaksjon er det tryggere å vente, og en planlagt fornyelse utenfor arbeidstiden slår begge.

ipconfig /all
ipconfig /release
ipconfig /renew

Les utdataene før du frigir noe. Hvis adressen, gatewayen og DNS allerede passer med det normale området, har klienten kommet seg selv, og det gjenværende problemet er et annet sted. På en Linux-klient er ekvivalenten en lease-frigivelse og -fornyelse via nettverksbehandleren i stedet for en håndredigert adresse, fordi behandleren ellers skriver over endringen din ved neste hendelse.

Les tilbudet, ikke bare adressen

Adressen alene sier ikke hvem som leverte den. Det som betyr noe er serveridentifikatoren i tilbudet, leasetiden, og om gatewayen og resolveren passer med reserveområdet eller det normale.

tcpdump -ni any 'port 67 or port 68'

Ta opp under fornyelsen, fordi et stille grensesnitt forteller deg at klienten aldri spurte. Hvis tilbudet kommer fra den lokale reserven mens tunnelen er oppe, behandler valglogikken fortsatt den eksterne veien som utilgjengelig, og tvungne fornyelser på klientene vil bare gjenta samme resultat. Korreler opptaket med tunnelhendelser på samme klokke. En nøkkelfornyelse eller et kort fall som slutter sekunder før klientens forespørsel er en sannsynlig årsak; en ren tunnel med et reservasvar er et konfigurasjonsproblem i valgveien.

Der sammenligningen snur

Hvis mange klienter rammes samtidig, blir fornyelser per klient en kø av avbrudd og en supportsamtale. I så fall ser du på reserveområdet og gjenopprettingsprosedyren i stedet for klientene, fordi gruppen kom seg sammen og vil komme seg sammen igjen.

Hvis bare én klient rammes mens naboene har det bra, gjelder det motsatte: leasen til den klienten, reservasjonen eller oppførselen til dens egen DHCP-klient er variabelen, og en endring for hele nettstedet er feil verktøy.

Statiske adresser og reservasjoner trenger et tredje svar. En klient som er bundet til en adresse kan ikke reddes av en fornyelse, og en reservasjon som kolliderer med reserveområdet gir en duplikat som ser ut som en rutingsfeil til du sammenligner de to adresseplanene.

Skriv ned utgangsprosedyren

Bestem på forhånd hva reserven er for, hvor lenge en klient kan beholde den midlertidige adressen, og hvem som har lov til å tvinge en fornyelse i arbeidstiden. Skriv svaret der vaktingsingeniøren finner det, ved siden av områdedefinisjonen. Test det så én gang med vilje: kutt tunnelen, se hva klienten mottar, gjenopprett tunnelen, og noter hvor lang tid klienten bruker på å få de normale innstillingene tilbake. Den ene øvelsen erstatter mesteparten av gjettingen neste gang nettstedskoblingen blafrer.

Avslutt med å bekrefte ressursen, ikke adressen. Å nå filserveren, slå opp navnet og nå internett er tre separate kontroller, og bare den siste var aldri i tvil.