Nowy router, ten sam serwer VPN: przenieś jego publiczne wejście

Podłączasz nowy router, internet wraca, a klient VPN w telefonie nadal wskazuje adres, który już nie odpowiada. Na serwerze VPN nic się nie zmieniło, bo serwer nigdy się nie przeniósł. Router był publicznym punktem wejścia, a jego wymiana zastąpiła adres, regułę przekierowania i być może program aktualizujący dynamiczny DNS naraz.

Traktuj wymianę jako dwa przekazania, a nie jedno, i zachowaj lokalną drogę do interfejsu administracyjnego podczas pracy.

Zapisz przekazanie, zanim odłączysz

Zanotuj prefiks LAN, adres serwera i sposób jego przydzielania, nasłuch i transport, których VPN naprawdę używa, regułę wejścia, która go publikuje, oraz nazwę zapisaną przez klientów. Potem zanotuj, która maszyna aktualizuje dziś rekord dynamicznego DNS: może to być router, sam serwer albo osobny agent na innym hoście. Zrób to, gdy stare strony administracyjne jeszcze się ładują. Zrzut ekranu reguły wejścia jest lepszy niż zapamiętany numer portu.

Dodaj prywatne prefiksy, do których klienci mają docierać, i sposób, w jaki urządzenia w LAN wysyłają do nich odpowiedzi. Oba łatwo zapomnieć, bo kreator wymiany mówi o dostępie do internetu, a nie o drogach powrotnych. Wyeksportuj też starą konfigurację, jeśli producent wspiera jej przywracanie, akceptując, że kopia z jednego modelu rzadko importuje się czysto do drugiego.

Przechowuj ten zapis w chronionym miejscu. Kopia routera może zawierać dane logowania do łącza WAN. Traktuj plik eksportu jak hasło, a nie jak notatkę o ustawieniach.

Najpierw przenieś adres, potem przekierowanie

Jeśli nowy router zachowa ten sam prefiks LAN, daj serwerowi rezerwację, którą miał, albo równoważne przypisanie statyczne. Jeśli prefiks się zmieni, najpierw zaktualizuj adres serwera i każde powiązanie nasłuchu, które go nazywa, bo przekierowanie na stary adres będzie po cichu wysyłać ruch donikąd.

Potem utwórz dokładnie jedną regułę wejścia dla transportu, którego używa VPN. Poradniki producentów opisujące przekierowanie do lokalnego serwera pokazują mechanizm, a nie uniwersalny przepis, więc dopasuj regułę do swojego rzeczywistego protokołu i portu, a nie do listy z bloga. Przekierowanie na nowym routerze nie usunie NAT-u operatora, który stoi nad nim, i żadna lokalna reguła nie uczyni prywatnego adresu osiągalnym z internetu, jeśli dostawca już dzieli jeden z tobą.

Potwierdź, że własna zapora serwera nadal przepuszcza ten ruch. Sprawdź, czy między routerem a internetem nie stoi druga brama, bo wielu dostawców daje modem i router w jednym. Odczytaj adres WAN na nowym urządzeniu i porównaj go z adresem, który rozwiązują klienci. Jeśli się różnią, twoje przekierowanie ląduje na czymś, co nie jest krawędzią.

Zdecyduj, kto aktualizuje publiczną nazwę

Aktualizacje punktu końcowego wymagają jednego właściciela i tylko jednego. Jeśli stary router publikował nazwę, skonfiguruj obsługiwany aktualizator na zamienniku i potwierdź, że rekord naprawdę się zmienił. Jeśli serwer już ją publikował, zostaw ten układ w spokoju, zamiast dodawać konkurencyjny aktualizator, który kołysze się między dwoma adresami.

Gdy wdrożenie publikuje obie rodziny adresów, czytaj zarówno rekord A, jak i AAAA. Każdy musi wskazywać usługę, która naprawdę nasłuchuje i jest dozwolona własną ścieżką zapory, a działające mapowanie IPv4 nic nie mówi o stronie IPv6. Zachowaj też kontrole tożsamości w profilu klienta: zmieniony publiczny adres nie jest powodem, by zaakceptować certyfikat lub klucz partnera, który nie pasuje.

Udowodnij wymianę z zewnątrz

Testuj za pomocą autoryzowanego połączenia zewnętrznego i nowej sesji, nie od środka LAN. Test wewnętrzny wobec publicznego adresu zależy od zachowania hairpina i idzie inną drogą niż prawdziwy klient.

Podążaj sekwencją, którą stosuje klient: rozwiąż nazwę, wynegocjuj tunel, uwierzytelnij się, a potem wykonaj jedną operację na prywatnym zasobie. Właśnie ten ostatni krok ludzie pomijają, i tylko on dowodzi drogi powrotnej. Jeśli logowanie się udaje, a operacja prywatna nie, porównaj nowy prefiks LAN, trasy wybrane przez klienta i drogę odpowiedzi zasobu ze swoimi notatkami z przekazania.

Dopiero gdy przejdą wszystkie cztery kroki, stary router można bezpiecznie wycofać. Odłącz go, a potem powtórz test zewnętrzny jeszcze raz. Nieaktualny rekord, który nadal rozwiązuje się na stary adres, zawodzi już w pierwszym kroku, a to łatwiej zdiagnozować, dopóki stare urządzenie stoi jeszcze na półce.

Trzymaj nowe mapowanie razem z notatkami odzyskiwania

Zarchiwizuj ostateczne przydzielenie serwera, regułę wejścia i nazwę właściciela aktualizacji obok procedury lokalnego dotarcia do routera. Następna wymiana powinna zaczynać się od tej strony, a nie od traceroute.

Jeśli tunel nadal zawodzi z zewnątrz po wszystkim powyżej, sprawdź, czy publiczny adres zgłaszany przez router zgadza się z tym, który rozwiązują klienci. To jedno porównanie oddziela problem DNS od problemu przekierowania i zajmuje mniej czasu niż czytanie kolejnego poradnika o przekierowaniu portów.