VPN на роутере выглядит нормально после отключения электричества? Проверьте эти четыре уровня

Роутер, который загорается после отключения, восстановил свою конфигурацию, а не подключение. После отключения электричества роутер может восстановить сохранённый профиль VPN раньше, чем будут готовы зависимости, нужные этому профилю: модем выше по цепочке может ещё тренироваться, часы могут быть неверными, а аутентификация может не завершиться. Лампочка на панели и сохранённая конфигурация описывают намерение, а не работающий туннель. Проверяйте четыре уровня ниже по порядку, а не заменяйте профиль — именно это люди делают вторым, а жалеют первым.

Всё здесь предполагает, что вы на месте или у вас есть путь внутрь, не зависящий от туннеля, который вы проверяете. Если нет, организуйте это до следующего отключения.

Первый уровень: действительно ли вернулся WAN

Начните с модема, а не с панели роутера. Роутер, завершивший загрузку раньше, чем его модем обучился, показывает здоровый интерфейс, за которым ничего нет, и туннелю не к кому подключаться. Убедитесь, что модем действительно передаёт, затем убедитесь, что роутер получил ожидаемые настройки WAN. Проверьте также, не изменился ли адрес WAN: динамический адрес, который возвращается другим, может сделать недействительным правило на основе адреса или удалённый список разрешений, а изнутри сети это выглядит как сбой VPN.

Некоторые сети доступа после отключения требуют ещё и нового шага допуска. Читайте журнал клиента, чтобы найти первую стадию отказа, а не угадывайте: первая ошибка называет уровень, а всё после неё — следствие. Запишите адрес и результат допуска в заявку, потому что оба решают, заработает ли тот же профиль завтра. Изменённый адрес — это пятиминутное исправление и двухчасовая загадка.

Второй уровень: проверьте часы до сертификата

Неверные часы мешают сроку действия сертификата и всему, что зависит от времени, а встроенное устройство, загружающееся без работающего источника времени, может некоторое время оставаться на старой дате. Тогда проверка сертификата терпит неудачу по причине, не имеющей отношения к учётным данным. Ошибка срока, даты которой расходятся на годы, указывает на часы; та же ошибка с текущими датами указывает на сертификат.

date -u
chronyc tracking

Используйте поддерживаемый процесс восстановления времени и подтвердите часы роутера, прежде чем трогать профиль. Отключение проверки, чтобы обойти ошибку, превращает временную проблему порядка в постоянное ослабление, и это самая распространённая плохая правка в этом сценарии. Если у устройства нет часов на батарее, важен порядок загрузки: ему нужен доступ к сети, прежде чем синхронизировать время, и время, прежде чем проверять туннель. Именно этот порядок нужно исправить, если один и тот же отказ повторяется после каждого отключения.

Третий уровень: прочитайте, что говорит туннель

Проверяйте собственное состояние туннеля и результат рукопожатия или аутентификации, а не то, что интерфейс поднят. Интерфейс может существовать без установленного партнёра, а клиент может показывать подключение, пока обновление ключей не удаётся. Отделяйте транспортные тайм-ауты от явных отказов: тайм-аут говорит о том, что маршрут или партнёр ещё недоступны, а отказ означает, что дальняя сторона ответила и отказала, чаще всего из-за учётных данных, сертификата или идентичности партнёра, которая больше не совпадает. Отправлять пользователя на сброс пароля из-за тайм-аута — тратить всем послеобеденное время.

Держите под рукой последнюю известную хорошую конфигурацию, чтобы сравнивать поля, а не восстанавливать их заново. Если поле изменилось, это изменение и есть находка. Сравните его поле за полем с восстановленной, а не читайте только восстановленную. Большинство сюрпризов после отключения — это поле, тихо вернувшееся к значению шаблона по умолчанию.

Четвёртый уровень: тестируйте с устройства ниже по цепочке

Откройте безвредный разрешённый ресурс с клиента за роутером, затем подтвердите, какой выход или частный маршрут действительно использовал трафик. Проверьте DNS и каждое семейство адресов, которое, по вашим словам, покрыто, потому что собственная проба роутера может успешно пройти, пока политика клиента ещё неверна — проба часто использует другой источник, другую таблицу или другой путь к резолверу.

curl -s https://ifconfig.me
nslookup example.com

Если туннель не работает и дело не только в неверной настройке, решите, нужно ли блокировать затронутых клиентов или им можно использовать одобренный резерв. Этот выбор относится к плану переключения до отключения, а не к чату во время него. Запишите наблюдаемый выход и резолвер в заявку об отключении. Две строки сейчас сэкономят следующему человеку час догадок о том, какой путь был активен в это время.

Что исправить, чтобы следующее отключение было короче

Если отказ повторяется, исправление — это порядок, а не конфигурация: поднимите WAN, затем время, затем туннель, затем политику клиента. Большинство роутеров выражают это как зависимость или задержку, и короткая намеренная задержка лучше переписывания профиля.

Затем повторите обычный тест перезагрузки после изменения, включая проверку на стороне клиента. Тест перезагрузки, который смотрит только на панель роутера, проверяет наименее информативный из четырёх уровней.