VPN na routeri vyzerá po výpadku v poriadku? Otestujte tieto štyri vrstvy

Router, ktorý sa po výpadku rozsvieti, obnovil svoju konfiguráciu, nie konektivitu. Po výpadku prúdu môže router obnoviť uložený profil VPN skôr, než sú pripravené závislosti, ktoré tento profil potrebuje: modem vyššie v sieti sa môže ešte trénovať, hodiny môžu byť nesprávne a autentizácia nemusí byť dokončená. Kontrolka na paneli a uložená konfigurácia opisujú zámer, nie funkčný tunel. Prejdite štyri vrstvy nižšie v poradí, namiesto toho aby ste vymenili profil, lebo to ľudia robia ako druhé a ľutujú ako prvé.

Všetko tu predpokladá, že ste na mieste alebo máte cestu dovnútra, ktorá nezávisí od tunela, ktorý testujete. Ak nie, zariaďte to pred ďalším výpadkom.

Prvá vrstva: vrátila sa WAN naozaj

Začnite modemom, nie panelom routera. Router, ktorý dokončí štart skôr, než sa jeho modem natrénuje, ukazuje zdravé rozhranie, za ktorým nič nie je, a tunel nemá koho osloviť. Overte, že modem skutočne preposiela, a potom overte, že router prevzal nastavenia WAN, ktoré očakávate. Skontrolujte aj to, či sa zmenila adresa WAN: dynamická adresa, ktorá sa vráti iná, môže zneplatniť pravidlo založené na adrese alebo vzdialený zoznam povolených, a zvnútra siete to vyzerá ako porucha VPN.

Niektoré prístupové siete po výpadku vyžadujú aj nový krok prijatia. Čítajte klientsky log pre prvú fázu zlyhania, namiesto aby ste hádali: prvá chyba pomenuje vrstvu a všetko po nej je následok. Zapíšte adresu a výsledok prijatia do tiketu, pretože oboje rozhoduje, či bude ten istý profil zajtra fungovať. Zmenená adresa je päťminútová oprava a dvojhodinová záhada.

Druhá vrstva: skontrolujte hodiny skôr než certifikát

Nesprávne hodiny narúšajú platnosť certifikátu a všetko časovo závislé, a vstavané zariadenie, ktoré naštartuje bez funkčného zdroja času, môže nejaký čas zostať na starom dátume. Validácia certifikátu potom zlyhá z dôvodu, ktorý s prihlasovacími údajmi nemá nič spoločné. Chyba platnosti, ktorej dátumy sú posunuté o roky, ukazuje na hodiny; tá istá chyba s aktuálnymi dátumami ukazuje na certifikát.

date -u
chronyc tracking

Použite podporovaný postup obnovy času a potvrďte hodiny routera, skôr než sa dotknete profilu. Vypnutie validácie, aby sa chyba obišla, mení dočasný problém s poradím na trvalé oslabenie, a to je v tomto scenári najčastejšia zlá oprava. Ak zariadenie nemá hodiny na batériu, záleží na poradí štartu: potrebuje sieťový prístup skôr, než môže synchronizovať čas, a čas skôr, než môže validovať tunel. Práve to poradie treba opraviť, ak sa to isté zlyhanie opakuje po každom výpadku.

Tretia vrstva: prečítajte si, čo tunel hovorí

Skontrolujte vlastný stav tunela a výsledok jeho handshake alebo autentizácie, nie to, či je rozhranie hore. Rozhranie môže existovať bez nadviazaného partnera a klient môže ukazovať pripojenie, zatiaľ čo obnova kľúčov zlyháva. Oddeľte transportné časové limity od výslovných odmietnutí: časový limit naznačuje, že cesta alebo partner ešte nie sú dosiahnuteľní, kým odmietnutie znamená, že vzdialená strana odpovedala a odmietla, najčastejšie pre prihlasovacie údaje, certifikát alebo identitu partnera, ktorá už nesedí. Posielať používateľa na reset hesla pre časový limit všetkým pokazí popoludnie.

Majte po ruke poslednú známu dobrú konfiguráciu, aby ste polia porovnávali, nie rekonštruovali. Ak sa pole zmenilo, tou zmenou je nález. Porovnajte ho pole po poli s obnovenou, namiesto toho aby ste čítali len obnovenú. Väčšina prekvapení po výpadku je pole, ktoré sa ticho vrátilo k predvolenej hodnote šablóny.

Štvrtá vrstva: testujte zo zariadenia nižšie v sieti

Otvorte neškodný povolený zdroj z klienta za routerom a potom overte, ktorý výstup alebo súkromnú trasu premávka skutočne použila. Skontrolujte DNS a každú rodinu adries, ktorú tvrdíte, že pokrývate, pretože vlastná sonda routera môže uspieť, zatiaľ čo klientska politika je stále nesprávna — sonda často používa iný zdroj, inú tabuľku alebo inú cestu k resolveru.

curl -s https://ifconfig.me
nslookup example.com

Ak je tunel dole a nie je len nesprávne nastavený, rozhodnite, či musia byť postihnutí klienti blokovaní alebo smú použiť schválenú zálohu. Táto voľba patrí do plánu prepnutia pred výpadkom, nie do chatovej vlákna počas neho. Zapíšte pozorovaný výstup a resolver do tiketu o výpadku. Dva riadky teraz ušetria ďalšiemu človeku hodinu hádania, ktorá cesta bola v okne aktívna.

Čo opraviť, aby bol nasledujúci výpadok kratší

Ak sa zlyhanie opakuje, opravou je poradie, nie konfigurácia: zdvihnite WAN, potom čas, potom tunel, potom klientsku politiku. Väčšina routerov to vyjadruje ako závislosť alebo oneskorenie, a krátke zámerné oneskorenie je lepšie než prepis profilu.

Potom po zmene zopakujte obvyklý test reštartu, vrátane kontroly na strane klienta. Test reštartu, ktorý sa pozerá len na panel routera, testuje najmenej informatívnu zo štyroch vrstiev.