Новый маршрутизатор, тот же VPN-сервер: перенесите его публичный вход

Вы подключаете новый маршрутизатор, интернет возвращается, а VPN-клиент на телефоне всё ещё указывает на адрес, который больше не отвечает. На VPN-сервере ничего не изменилось, потому что сервер никуда не переезжал. Маршрутизатор был публичной точкой входа, и его замена заменила адрес, правило перенаправления и, возможно, программу обновления динамического DNS одновременно.

Относитесь к замене как к двум передачам, а не одной, и сохраняйте локальный путь в интерфейс администратора, пока работаете.

Запишите передачу до отключения

Запишите префикс LAN, адрес сервера и способ его назначения, слушателя и транспорт, которые VPN действительно использует, входящее правило, которое его публикует, и имя, сохранённое клиентами. Затем отметьте, какая машина сегодня обновляет запись динамического DNS: это может быть маршрутизатор, сам сервер или отдельный агент на другом хосте. Сделайте это, пока старые страницы администратора ещё загружаются. Снимок экрана входящего правила лучше запомненного номера порта.

Добавьте частные префиксы, до которых должны доходить клиенты, и то, как устройства в LAN отправляют ответы обратно. И то и другое легко забыть, потому что мастер замены говорит о доступе в интернет, а не о путях возврата. Экспортируйте и старую конфигурацию, если производитель поддерживает её восстановление, принимая, что резервная копия одной модели редко импортируется чисто в другую.

Храните эту запись в защищённом месте. Резервная копия маршрутизатора может содержать учётные данные для канала WAN. Относитесь к экспортированному файлу как к паролю, а не как к заметке о настройках.

Сначала перенесите адрес, потом перенаправление

Если новый маршрутизатор сохраняет тот же префикс LAN, дайте серверу прежнее резервирование или равноценное статическое назначение. Если префикс меняется, сначала обновите адрес сервера и любую привязку слушателя, которая его называет, потому что перенаправление на старый адрес будет молча отправлять трафик в никуда.

Затем создайте ровно одно входящее правило для транспорта, который использует VPN. Руководства производителей, описывающие перенаправление на локальный сервер, показывают механизм, а не универсальный рецепт, поэтому привяжите правило к своему реальному протоколу и порту, а не к списку из блога. Перенаправление на новом маршрутизаторе не может убрать NAT уровня оператора, стоящий выше, и никакое локальное правило не сделает частный адрес доступным из интернета, если провайдер уже делит один с вами.

Убедитесь, что собственный брандмауэр сервера по-прежнему пропускает этот трафик. Проверьте, не стоит ли между маршрутизатором и интернетом второй шлюз, потому что многие провайдеры выдают совмещённые модем и маршрутизатор. Прочитайте адрес WAN на новом устройстве и сравните его с адресом, который разрешают клиенты. Если они различаются, ваше перенаправление попадает на что-то, что не является краем.

Решите, кто обновляет публичное имя

Обновления конечной точки требуют одного владельца и только одного. Если старый маршрутизатор публиковал имя, настройте поддерживаемое средство обновления на замене и подтвердите, что запись действительно изменилась. Если сервер публиковал его и раньше, оставьте этот порядок в покое, вместо того чтобы добавлять конкурирующее средство, которое качается между двумя адресами.

Когда развёртывание публикует оба семейства адресов, читайте и запись A, и запись AAAA. Каждая должна указывать на службу, которая действительно слушает и разрешена по своему собственному пути через брандмауэр, а рабочее сопоставление IPv4 ничего не говорит о стороне IPv6. Сохраняйте и проверки подлинности в профиле клиента: изменённый публичный адрес не причина принимать сертификат или ключ партнёра, который не совпадает.

Докажите замену снаружи

Проверяйте через авторизованное внешнее подключение и новую сессию, а не изнутри LAN. Внутренняя проверка по публичному адресу зависит от поведения возврата на собственный адрес и идёт другим путём, чем настоящий клиент.

Следуйте последовательности, по которой идёт клиент: разрешите имя, согласуйте туннель, пройдите аутентификацию, затем выполните одну операцию с частным ресурсом. Именно этот последний шаг люди пропускают, и только он доказывает путь возврата. Если вход удался, а частная операция не проходит, сравните новый префикс LAN, маршруты, выбранные клиентом, и путь ответа ресурса со своими заметками о передаче.

Только после того, как пройдены все четыре шага, старый маршрутизатор можно безопасно вывести из эксплуатации. Отключите его и повторите внешнюю проверку ещё раз. Устаревшая запись, которая всё ещё разрешается в старый адрес, отказывает уже на первом шаге, и это легче диагностировать, пока старое устройство стоит на полке.

Храните новое сопоставление вместе с заметками о восстановлении

Заархивируйте итоговое назначение сервера, входящее правило и имя владельца обновления рядом с процедурой локального доступа к маршрутизатору. Следующая замена должна начинаться с этой страницы, а не с traceroute.

Если туннель по-прежнему не работает снаружи после всего перечисленного, проверьте, совпадает ли публичный адрес, который сообщает маршрутизатор, с тем, который разрешают клиенты. Это единственное сравнение отделяет проблему DNS от проблемы перенаправления, и оно занимает меньше времени, чем чтение ещё одного руководства по перенаправлению портов.