Záložný lease po návrate tunela lokality: obnoviť alebo čakať?

Spojenie s lokalitou je hore, tunel nadviazaný, a počítače pobočky sa napriek tomu nedostanú na súborový server. Počas výpadku išli dvoje hodiny a dokončili sa len jedny z nich. Tunel sa obnovil, keď sa vrátila šifrovaná cesta; adresa každého klienta sa obnoví, keď jeho súčasný lease skončí alebo je nahradený. Porovnanie týchto dvoch časových osí vysvetlí medzeru rýchlejšie ako čítanie logov firewallu.

Dvoje hodiny, a jedny z nich nie sú tunel

S DHCP cez VPN a miestnou zálohou môže zariadenie vydávať dočasné miestne leasy, kým je vzdialená cesta DHCP nedostupná. Dočasná doba sa zvyčajne počíta v minútach, čo je dosť krátke na to, aby problém skrylo, a dosť dlhé na to, aby prežilo krátky výpadok. Keď sa tunel vráti, záloha prestane tieto leasy ponúkať. Nezasiahne do klienta a nezruší lease, ktorý už drží. Taký klient si ponechá adresu, masku, bránu a resolver až do obnovy alebo vypršania, a preto môžu zdravý tunel a pokazený počítač koexistovať po zvyšok leasu.

Udržujte implementáciu a verziu softvéru pri tomto tvrdení. Názvy časovačov a predvolené hodnoty sa medzi vydaniami SonicOS líšia a staršie rozhranie nedokazuje, čo robí novšie.

Porovnajte dva kroky obnovy

Krok A je počkať. Nič nestojí, nič neriskuje a necháva každého klienta obnoviť podľa jeho vlastného rozvrhu. Krok B je vynútiť uvoľnenie a obnovu na postihnutom klientovi, čo okamžite získa zamýšľanú adresu, ale preruší všetko, čo klient robí. Na jednom počítači je vynútená obnova zvyčajne rýchlejšou cestou a ľahko sa obháji. V laboratóriu alebo na pokladničnom termináli uprostred transakcie je bezpečnejšou voľbou čakanie a naplánovaná obnova mimo pracovnej doby poráža oboje.

ipconfig /all
ipconfig /release
ipconfig /renew

Prečítajte si výstup, kým čokoľvek uvoľníte. Ak adresa, brána a DNS už zodpovedajú bežnému rozsahu, klient sa obnovil sám a zostávajúci problém je inde. Na klientovi s Linuxom je ekvivalentom uvoľnenie a obnova leasu cez správcu siete, nie ručne upravená adresa, pretože inak správca váš zásah prepíše pri ďalšej udalosti.

Čítajte ponuku, nie len adresu

Adresa sama nehovorí, kto ju poskytol. Dôležitý je identifikátor servera v ponuke, doba leasu a to, či brána a resolver zodpovedajú záložnému rozsahu alebo bežnému.

tcpdump -ni any 'port 67 or port 68'

Zachytávajte počas obnovy, pretože tiché rozhranie hovorí, že sa klient nikdy neopýtal. Ak ponuka prichádza z miestnej zálohy, kým je tunel hore, logika výberu stále považuje vzdialenú cestu za nedostupnú a vynútené obnovy na klientoch len zopakujú rovnaký výsledok. Spojte zachytenie s udalosťami tunela na tých istých hodinách. Obnova kľúčov alebo krátky výpadok, ktorý sa skončí sekundy pred požiadavkou klienta, je pravdepodobná príčina; čistý tunel so záložnou odpoveďou je problém konfigurácie vo výberovej ceste.

Kde sa porovnanie obracia

Ak je postihnutých veľa klientov naraz, obnovy po klientoch sa zmenia na front prerušení a telefonát na podporu. V takom prípade sa pozerajte na záložný rozsah a postup obnovy, nie na klientov, pretože populácia sa obnovila spoločne a zase sa obnoví spoločne.

Ak je postihnutý len jeden klient a jeho susedia sú v poriadku, platí opak: premennou je lease tohto klienta, jeho rezervácia alebo správanie jeho vlastného DHCP klienta, a zmena pre celú lokalitu je nesprávny nástroj.

Statické adresy a rezervácie potrebujú tretiu odpoveď. Klienta pripnutého k adrese nezachráni obnova a rezervácia, ktorá koliduje so záložným rozsahom, vytvorí duplikát, ktorý vyzerá ako porucha smerovania, kým neporovnáte oba adresné plány.

Zapíšte postup odchodu

Vopred rozhodnite, na čo je záloha, ako dlho si klient smie ponechať dočasnú adresu a kto smie počas pracovnej doby vynútiť obnovu. Odpoveď napíšte tam, kde ju nájde pohotovostný technik, vedľa definície rozsahu. Potom to raz zámerne vyskúšajte: zhoďte tunel, sledujte, čo klient dostane, obnovte tunel a zaznamenajte, ako dlho klientovi trvá vrátiť bežné nastavenia. Toto jediné cvičenie nahradí väčšinu hádania, keď nabudúce spojenie s lokalitou zakolíše.

Skončite potvrdením prostriedku, nie adresy. Dostať sa na súborový server, preložiť jeho meno a dostať sa na internet sú tri samostatné kontroly a len tá posledná nikdy nebola sporná.