Novi ruter, isti VPN server: premestite njegov javni ulaz

Uključite novi ruter, internet se vrati, a VPN klijent na telefonu i dalje pokazuje na adresu koja više ne odgovara. Na VPN serveru se ništa nije promenilo, jer se server nikada nije pomerio. Ruter je bio javna ulazna tačka, a njegova zamena zamenila je adresu, pravilo preusmeravanja i verovatno ažuriranje dinamičkog DNS-a istovremeno.

Tretirajte zamenu kao dva predavanja, a ne jedno, i zadržite lokalni put do administrativnog interfejsa dok radite.

Zapišite predavanje pre nego što isključite

Zabeležite LAN prefiks, adresu servera i način na koji se dodeljuje, slušaoca i transport koje VPN zaista koristi, ulazno pravilo koje ga objavljuje i ime koje su klijenti sačuvali. Zatim zabeležite koja mašina danas ažurira zapis dinamičkog DNS-a: to može biti ruter, sam server ili odvojeni agent na drugom hostu. Uradite to dok se stare administrativne stranice još učitavaju. Snimak ekrana ulaznog pravila bolji je od zapamćenog broja porta.

Dodajte privatne prefikse do kojih klijenti treba da stignu i način na koji uređaji u LAN-u šalju odgovore nazad do njih. Oboje se lako zaboravi jer čarobnjak za zamenu govori o pristupu internetu, a ne o povratnim putevima. Izvezite i staru konfiguraciju ako proizvođač podržava njeno vraćanje, prihvatajući da se rezervna kopija jednog modela retko čisto uvozi u drugi.

Čuvajte taj zapis na zaštićenom mestu. Rezervna kopija rutera može sadržati akreditive za WAN vezu. Tretirajte izvezenu datoteku kao lozinku, a ne kao belešku o podešavanjima.

Prvo premestite adresu, pa preusmeravanje

Ako novi ruter zadrži isti LAN prefiks, dajte serveru rezervaciju koju je imao ili odgovarajuću statičku dodelu. Ako se prefiks promeni, prvo ažurirajte adresu servera i svako vezivanje slušaoca koje je navodi, jer će preusmeravanje usmereno na staru adresu tiho slati saobraćaj nikuda.

Zatim stvorite tačno jedno ulazno pravilo za transport koji VPN koristi. Vodiči proizvođača koji opisuju preusmeravanje na lokalni server pokazuju mehanizam, a ne univerzalni recept, pa uskladite pravilo sa svojim stvarnim protokolom i portom, a ne sa spiskom sa bloga. Preusmeravanje na novom ruteru ne može ukloniti NAT na nivou operatera koji stoji iznad njega, i nijedno lokalno pravilo neće učiniti privatnu adresu dostupnom sa interneta ako provajder već deli jednu sa vama.

Potvrdite da vlastiti firewall servera još uvek dozvoljava taj saobraćaj. Proverite stoji li između rutera i interneta drugi gateway, jer mnogi provajderi daju kombinovani modem i ruter. Pročitajte WAN adresu na novom uređaju i uporedite je sa adresom koju klijenti razrešavaju. Ako se razlikuju, vaše preusmeravanje sleće na nešto što nije ivica.

Odlučite ko ažurira javno ime

Ažuriranja krajnje tačke trebaju jednog vlasnika i samo jednog. Ako je stari ruter objavljivao ime, konfigurišite podržani ažurator na zameni i potvrdite da se zapis zaista promenio. Ako ga je server već objavljivao, ostavite taj raspored na miru umesto da dodajete konkurentni ažurator koji leprša između dve adrese.

Kada implementacija objavljuje obe porodice adresa, čitajte i A i AAAA zapis. Svaki mora pokazivati na servis koji zaista sluša i koji je dozvoljen kroz sopstvenu firewall putanju, a radno IPv4 mapiranje ne govori ništa o strani IPv6. Zadržite i provere identiteta u profilu klijenta: promenjena javna adresa nije razlog da prihvatite sertifikat ili ključ partnera koji se ne poklapa.

Dokažite zamenu spolja

Testirajte sa ovlašćenom spoljnom vezom i novom sesijom, a ne iz unutrašnjosti LAN-a. Unutrašnji test protiv javne adrese zavisi od ponašanja pri vraćanju na sopstvenu adresu i prolazi drugim putem nego pravi klijent.

Sledite redosled koji sledi klijent: razrešite ime, pregovarajte tunel, autentifikujte se, pa izvršite jednu operaciju nad privatnim resursom. Taj zadnji korak ljudi preskaču i samo on dokazuje povratni put. Ako prijava uspe, a privatna operacija ne uspe, uporedite novi LAN prefiks, rute koje je klijent odabrao i put odgovora resursa sa svojim beleškama o predavanju.

Tek nakon što prođu sva četiri koraka, stari ruter je bezbedan za povlačenje. Isključite ga, pa još jednom ponovite spoljni test. Zastareo zapis koji se još razrešava na staru adresu pada već na prvom koraku, a to je lakše dijagnostikovati dok je stari uređaj još na polici.

Čuvajte novo mapiranje uz svoje beleške za oporavak

Odložite konačnu dodelu servera, ulazno pravilo i ime vlasnika ažuriranja uz postupak za lokalni pristup ruteru. Sledeća zamena treba da počne sa te stranice, a ne sa tracerouteom.

Ako tunel i dalje ne uspeva spolja nakon svega navedenog, proverite da li se javna adresa koju ruter prijavljuje poklapa sa onom koju klijenti razrešavaju. To jedno poređenje odvaja DNS problem od problema preusmeravanja i traje kraće od čitanja još jednog vodiča za preusmeravanje portova.