Ser ruterens VPN bra ut etter et strømbrudd? Test disse fire lagene

En ruter som lyser opp etter et strømbrudd, har gjenopprettet konfigurasjonen sin, ikke tilkoblingen. Etter et strømbrudd kan en ruter gjenopprette den lagrede VPN-profilen før avhengighetene den trenger er klare: modemet oppstrøms kan fortsatt trene, klokken kan være feil, og autentiseringen kan være ufullstendig. Lyset i panelet og den lagrede konfigurasjonen beskriver hensikt, ikke en fungerende tunnel. Kontroller de fire lagene nedenfor i rekkefølge i stedet for å bytte profilen, for det er det folk gjør som nummer to og angrer på som nummer én.

Alt her forutsetter at du er på stedet eller har en inngangsvei som ikke avhenger av tunnelen du tester. Hvis ikke, ordne det før neste strømbrudd.

Første lag: er WAN faktisk tilbake

Begynn med modemet, ikke ruterens panel. En ruter som fullfører oppstarten før modemet har trent, viser et sunt grensesnitt uten noe bak, og tunnelen har ingen motpart å nå. Bekreft at modemet faktisk videresender, og bekreft deretter at ruteren har tatt WAN-innstillingene du forventer. Sjekk også om WAN-adressen er endret: en dynamisk adresse som kommer tilbake annerledes kan ugyldiggjøre en adressebasert regel eller en ekstern tillatelsesliste, og fra innsiden av nettverket ser det ut som en VPN-feil.

Noen aksessnett krever også et nytt opptakstrinn etter et strømbrudd. Les klientloggen for det første feiltrinnet i stedet for å gjette: den første feilen navngir laget, og alt etterpå er konsekvens. Skriv adressen og opptaksresultatet i saken, for begge avgjør om samme profil virker i morgen. En endret adresse er en fem minutters rettelse og et to timers mysterium.

Andre lag: kontroller klokken før sertifikatet

En feil klokke forstyrrer sertifikatets gyldighet og alt tidsbasert, og en innebygd enhet som starter uten en fungerende tidskilde kan bli stående på en gammel dato en stund. Sertifikatvalideringen feiler da av en grunn som ikke har noe med legitimasjonen å gjøre. En gyldighetsfeil der datoene er år feil peker på klokken; samme feil med gjeldende datoer peker på sertifikatet.

date -u
chronyc tracking

Bruk den støttede tidsgjenopprettingsprosessen og bekreft ruterens klokke før du rører profilen. Å slå av validering for å komme forbi feilen gjør et midlertidig ordensproblem til en permanent svekkelse, og det er den vanligste dårlige rettelsen i dette scenarioet. Hvis enheten ikke har batteridrevet klokke, betyr oppstartsrekkefølgen noe: den trenger nettverkstilgang før den kan synkronisere tid, og tid før den kan validere en tunnel. Det er den rekkefølgen som må rettes hvis samme feil gjentas etter hvert strømbrudd.

Tredje lag: les hva tunnelen sier

Kontroller tunnelens egen tilstand og resultatet av håndtrykket eller autentiseringen, ikke at grensesnittet er oppe. Et grensesnitt kan finnes uten en etablert motpart, og en klient kan vise tilkoblet mens nøkkelfornyelsen feiler. Skille transporttidsavbrudd fra tydelige avvisninger: et tidsavbrudd antyder at veien eller motparten ikke er nåbar ennå, mens en avvisning betyr at den andre siden svarte og avviste, oftest på grunn av legitimasjon, et sertifikat eller en motpartsidentitet som ikke lenger stemmer. Å sende brukeren gjennom en passordtilbakestilling for et tidsavbrudd kaster bort alles ettermiddag.

Hold den sist kjente gode konfigurasjonen ved hånden slik at du kan sammenligne felt i stedet for å gjenoppbygge dem. Hvis et felt er endret, er den endringen funnet. Sammenlign det felt for felt med den gjenopprettede i stedet for bare å lese den gjenopprettede. De fleste overraskelser etter et strømbrudd er et felt som stille falt tilbake til en malstandard.

Fjerde lag: test fra en enhet lenger ned

Åpne en ufarlig tillatt ressurs fra en klient bak ruteren, og bekreft deretter hvilken utgang eller privat rute trafikken faktisk brukte. Kontroller DNS og hver adressefamilie du hevder å dekke, for ruterens egen sonde kan lykkes mens klientpolitikken fortsatt er feil — sonden bruker ofte en annen kilde, en annen tabell eller en annen resolvervei.

curl -s https://ifconfig.me
nslookup example.com

Hvis tunnelen er nede og ikke bare feilkonfigurert, avgjør om berørte klienter må blokkeres eller kan bruke en godkjent reserve. Det valget hører i failover-planen før et strømbrudd, ikke i en chat-tråd under ett. Skriv den observerte utgangen og resolveren i strømbruddssaken. To linjer nå sparer neste person en time med gjetting om hvilken vei som var aktiv i vinduet.

Hva som må rettes for at neste strømbrudd blir kortere

Hvis feilen gjentas, er rettelsen rekkefølge, ikke konfigurasjon: hev WAN, deretter tid, deretter tunnelen, deretter klientpolitikk. De fleste rutere uttrykker det som en avhengighet eller forsinkelse, og en kort bevisst forsinkelse slår en omskriving av profilen.

Gjenta deretter den vanlige omstartstesten etter at du har endret det, inkludert kontrollen på klientsiden. En omstartstest som bare ser på ruterens panel, tester det minst informative av de fire lagene.