Нови рутер, исти VPN сервер: преместите његов јавни улаз

Укључите нови рутер, интернет се врати, а VPN клијент на телефону и даље показује на адресу која више не одговара. На VPN серверу се ништа није променило, јер се сервер никада није померио. Рутер је био јавна улазна тачка, а његова замена заменила је адресу, правило преусмеравања и вероватно ажурирање динамичког DNS-а истовремено.

Третирајте замену као два предавања, а не једно, и задржите локални пут до административног интерфејса док радите.

Запишите предавање пре него што искључите

Забележите LAN префикс, адресу сервера и начин на који се додељује, слушаоца и транспорт које VPN заиста користи, улазно правило које га објављује и име које су клијенти сачували. Затим забележите која машина данас ажурира запис динамичког DNS-а: то може бити рутер, сам сервер или одвојени агент на другом хосту. Урадите то док се старе административне странице још учитавају. Снимак екрана улазног правила бољи је од запамћеног броја порта.

Додајте приватне префиксе до којих клијенти треба да стигну и начин на који уређаји у LAN-у шаљу одговоре назад до њих. Обоје се лако заборави јер чаробњак за замену говори о приступу интернету, а не о повратним путевима. Извезите и стару конфигурацију ако произвођач подржава њено враћање, прихватајући да се резервна копија једног модела ретко чисто увози у други.

Чувајте тај запис на заштићеном месту. Резервна копија рутера може садржати акредитиве за WAN везу. Третирајте извезену датотеку као лозинку, а не као белешку о подешавањима.

Прво преместите адресу, па преусмеравање

Ако нови рутер задржи исти LAN префикс, дајте серверу резервацију коју је имао или одговарајућу статичку доделу. Ако се префикс промени, прво ажурирајте адресу сервера и свако везивање слушаоца које је наводи, јер ће преусмеравање усмерено на стару адресу тихо слати саобраћај никуда.

Затим створите тачно једно улазно правило за транспорт који VPN користи. Водичи произвођача који описују преусмеравање на локални сервер показују механизам, а не универзални рецепт, па ускладите правило са својим стварним протоколом и портом, а не са списком са блога. Преусмеравање на новом рутеру не може уклонити NAT на нивоу оператера који стоји изнад њега, и ниједно локално правило неће учинити приватну адресу доступном са интернета ако провајдер већ дели једну са вама.

Потврдите да властити заштитни зид сервера још увек дозвољава тај саобраћај. Проверите стоји ли између рутера и интернета други пролаз, јер многи провајдери дају комбиновани модем и рутер. Прочитајте WAN адресу на новом уређају и упоредите је са адресом коју клијенти разрешавају. Ако се разликују, ваше преусмеравање слеће на нешто што није ивица.

Одлучите ко ажурира јавно име

Ажурирања крајње тачке требају једног власника и само једног. Ако је стари рутер објављивао име, конфигуришите подржани ажуратор на замени и потврдите да се запис заиста променио. Ако га је сервер већ објављивао, оставите тај распоред на миру уместо да додајете конкурентни ажуратор који лепрша између две адресе.

Када имплементација објављује обе породице адреса, читајте и A и AAAA запис. Сваки мора показивати на сервис који заиста слуша и који је дозвољен кроз сопствену путању заштитног зида, а радно IPv4 мапирање не говори ништа о страни IPv6. Задржите и провере идентитета у профилу клијента: промењена јавна адреса није разлог да прихватите сертификат или кључ партнера који се не поклапа.

Докажите замену споља

Тестирајте са овлашћеном спољном везом и новом сесијом, а не из унутрашњости LAN-а. Унутрашњи тест против јавне адресе зависи од понашања при враћању на сопствену адресу и пролази другим путем него прави клијент.

Следите редослед који следи клијент: разрешите име, преговарајте тунел, аутентификујте се, па извршите једну операцију над приватним ресурсом. Тај задњи корак људи прескачу и само он доказује повратни пут. Ако пријава успе, а приватна операција не успе, упоредите нови LAN префикс, руте које је клијент одабрао и пут одговора ресурса са својим белешкама о предавању.

Тек након што прођу сва четири корака, стари рутер је безбедан за повлачење. Искључите га, па још једном поновите спољни тест. Застарео запис који се још разрешава на стару адресу пада већ на првом кораку, а то је лакше дијагностиковати док је стари уређај још на полици.

Чувајте ново мапирање уз своје белешке за опоравак

Одложите коначну доделу сервера, улазно правило и име власника ажурирања уз поступак за локални приступ рутеру. Следећа замена треба да почне са те странице, а не са traceroute-а.

Ако тунел и даље не успева споља након свега наведеног, проверите да ли се јавна адреса коју рутер пријављује поклапа са оном коју клијенти разрешавају. То једно поређење одваја DNS проблем од проблема преусмеравања и траје краће од читања још једног водича за преусмеравање портова.