VPN routera wygląda dobrze po awarii zasilania? Sprawdź te cztery warstwy

Router, który po awarii się świeci, przywrócił swoją konfigurację, a nie łączność. Po awarii zasilania router może przywrócić zapisany profil VPN, zanim zależności potrzebne temu profilowi będą gotowe: modem powyżej może jeszcze się trenować, zegar może być błędny, a uwierzytelnianie może nie zostać ukończone. Lampka na panelu i zapisana konfiguracja opisują zamiar, a nie działający tunel. Sprawdź cztery warstwy poniżej po kolei, zamiast wymieniać profil, bo to ludzie robią jako drugie i żałują jako pierwsze.

Wszystko tutaj zakłada, że jesteś na miejscu albo masz drogę wejścia, która nie zależy od testowanego tunelu. Jeśli nie, załatw to przed następną awarią.

Pierwsza warstwa: czy WAN naprawdę wrócił

Zacznij od modemu, nie od panelu routera. Router, który kończy uruchamianie, zanim jego modem się wytrenował, pokazuje zdrowy interfejs bez niczego za nim, a tunel nie ma partnera, do którego mógłby dotrzeć. Potwierdź, że modem naprawdę przekazuje, a następnie potwierdź, że router przejął oczekiwane ustawienia WAN. Sprawdź też, czy zmienił się adres WAN: adres dynamiczny, który wraca inny, może unieważnić regułę opartą na adresie lub zdalną listę dozwolonych, a od środka sieci wygląda to jak awaria VPN.

Niektóre sieci dostępowe po awarii wymagają też nowego kroku przyjęcia. Czytaj dziennik klienta, aby znaleźć pierwszy etap błędu, zamiast zgadywać: pierwszy błąd nazywa warstwę, a wszystko po nim jest skutkiem. Zapisz adres i wynik przyjęcia w zgłoszeniu, bo oba decydują, czy ten sam profil będzie działał jutro. Zmieniony adres to pięciominutowa poprawka i dwugodzinna zagadka.

Druga warstwa: sprawdź zegar przed certyfikatem

Błędny zegar zakłóca ważność certyfikatu i wszystko oparte na czasie, a urządzenie wbudowane, które startuje bez działającego źródła czasu, może przez jakiś czas tkwić przy starej dacie. Wtedy walidacja certyfikatu zawodzi z powodu, który nie ma nic wspólnego z poświadczeniem. Błąd ważności, którego daty są przesunięte o lata, wskazuje zegar; ten sam błąd z bieżącymi datami wskazuje certyfikat.

date -u
chronyc tracking

Użyj obsługiwanego procesu odzyskiwania czasu i potwierdź zegar routera, zanim dotkniesz profilu. Wyłączenie walidacji, aby obejść błąd, zamienia tymczasowy problem kolejności w trwałe osłabienie, i to jest najczęstsza zła poprawka w tym scenariuszu. Jeśli urządzenie nie ma zegara na baterię, kolejność uruchamiania ma znaczenie: potrzebuje dostępu do sieci, zanim zsynchronizuje czas, i czasu, zanim zweryfikuje tunel. To właśnie tę kolejność trzeba poprawić, jeśli ten sam błąd powtarza się po każdej awarii.

Trzecia warstwa: przeczytaj, co mówi tunel

Sprawdź stan samego tunelu i wynik jego uzgadniania lub uwierzytelniania, a nie to, czy interfejs jest podniesiony. Interfejs może istnieć bez ustanowionego partnera, a klient może pokazywać połączenie, gdy odświeżanie kluczy zawodzi. Oddziel limity czasu transportu od wyraźnych odmów: limit czasu sugeruje, że ścieżka lub partner nie są jeszcze osiągalne, a odmowa oznacza, że druga strona odpowiedziała i odmówiła, najczęściej z powodu poświadczeń, certyfikatu lub tożsamości partnera, która już nie pasuje. Wysyłanie użytkownika do resetu hasła z powodu limitu czasu marnuje wszystkim popołudnie.

Trzymaj pod ręką ostatnią znaną dobrą konfigurację, aby porównywać pola, a nie odtwarzać je. Jeśli pole się zmieniło, ta zmiana jest ustaleniem. Porównaj je pole po polu z przywróconą, zamiast czytać tylko przywróconą. Większość niespodzianek po awarii to pole, które po cichu wróciło do wartości domyślnej szablonu.

Czwarta warstwa: testuj z urządzenia poniżej

Otwórz nieszkodliwy dozwolony zasób z klienta za routerem, a następnie potwierdź, którego wyjścia lub trasy prywatnej ruch naprawdę użył. Sprawdź DNS i każdą rodzinę adresów, którą rzekomo obejmujesz, bo sonda samego routera może się udać, gdy polityka klienta wciąż jest błędna — sonda często używa innego źródła, innej tabeli lub innej ścieżki resolvera.

curl -s https://ifconfig.me
nslookup example.com

Jeśli tunel leży i nie jest tylko źle skonfigurowany, zdecyduj, czy dotknięci klienci mają być blokowani, czy mogą korzystać z zatwierdzonego wariantu zapasowego. Ten wybór należy do planu przełączania przed awarią, a nie do wątku czatu w jej trakcie. Zapisz zaobserwowane wyjście i resolver w zgłoszeniu awarii. Dwie linijki oszczędzają teraz następnej osobie godzinę zgadywania, która ścieżka była aktywna w tym oknie.

Co poprawić, aby następna awaria była krótsza

Jeśli błąd się powtarza, poprawką jest kolejność, a nie konfiguracja: podnieś WAN, potem czas, potem tunel, potem politykę klienta. Większość routerów wyraża to jako zależność lub opóźnienie, a krótkie celowe opóźnienie bije przepisanie profilu.

Potem powtórz zwykły test restartu po zmianie, łącznie ze sprawdzeniem po stronie klienta. Test restartu, który patrzy tylko na panel routera, sprawdza najmniej informacyjną z czterech warstw.