Reservlease när webbplatstunneln kommer tillbaka: förnya eller vänta?

Webbplatslänken är uppe, tunneln upprättad, och filialens datorer når fortfarande inte filservern. Under avbrottet gick två klockor och bara en av dem är klar. Tunneln återställdes när den krypterade vägen kom tillbaka; varje klients adress återställs när dess nuvarande lease löper ut eller ersätts. Att jämföra de två tidslinjerna förklarar gapet snabbare än att läsa brandväggsloggar.

Två klockor, och en av dem är inte tunneln

Med DHCP över VPN plus en lokal reserv kan enheten dela ut tillfälliga lokala leasar medan den avlägsna DHCP-vägen inte är tillgänglig. Den tillfälliga varaktigheten räknas vanligtvis i minuter, kort nog att dölja problemet och långt nog att överleva ett kort avbrott. När tunneln kommer tillbaka slutar reserven att erbjuda dessa leasar. Den går inte in i en klient och avbryter den lease som den redan har. Klienten behåller adress, mask, gateway och resolver till förnyelse eller utgång, och därför kan en frisk tunnel och en trasig dator samexistera resten av leasen.

Håll implementeringen och mjukvaruversionen knutna till detta påstående. Timernamn och standardvärden skiljer sig mellan SonicOS-utgåvor, och ett äldre gränssnitt bevisar inte vad ett nyare gör.

Jämför de två återställningsstegen

Steg A är att vänta. Det kostar inget, riskerar inget och låter varje klient förnya enligt sitt eget schema. Steg B är att tvinga fram en frigivning och förnyelse på den drabbade klienten, vilket ger den avsedda adressen direkt men avbryter allt klienten gör. På en enda dator är den påtvingade förnyelsen oftast den snabbare vägen och lätt att motivera. I ett labb eller på en kassaterminal mitt i en transaktion är väntan det säkrare valet, och en schemalagd förnyelse utanför arbetstid slår båda.

ipconfig /all
ipconfig /release
ipconfig /renew

Läs utdata innan du släpper något. Om adressen, gatewayen och DNS redan matchar det normala omfånget har klienten återställt sig själv och det återstående problemet finns någon annanstans. På en Linux-klient är motsvarigheten en lease-frigivning och -förnyelse via nätverkshanteraren i stället för en handredigerad adress, eftersom hanteraren annars skriver över din ändring vid nästa händelse.

Läs erbjudandet, inte bara adressen

Adressen ensam säger inte vem som levererade den. Det viktiga är serveridentifieraren i erbjudandet, leasetiden och om gatewayen och resolvern matchar reservomfånget eller det normala.

tcpdump -ni any 'port 67 or port 68'

Spela in under förnyelsen, eftersom ett tyst gränssnitt säger att klienten aldrig frågade. Om erbjudandet kommer från den lokala reserven medan tunneln är uppe, behandlar urvalslogiken fortfarande den avlägsna vägen som otillgänglig, och påtvingade förnyelser på klienterna upprepar bara samma resultat. Korrelera inspelningen med tunnelhändelser på samma klocka. En nyckelrotation eller ett kort avbrott som slutar sekunder före klientens begäran är en trolig orsak; en ren tunnel med ett reservsvar är ett konfigurationsproblem i urvalsvägen.

Där jämförelsen vänds

Om många klienter drabbas samtidigt blir förnyelser per klient en kö av avbrott och ett supportsamtal. I så fall tittar du på reservomfånget och återställningsproceduren i stället för på klienterna, eftersom gruppen återställdes tillsammans och kommer att återställas tillsammans igen.

Om bara en klient drabbas medan grannarna mår bra gäller det motsatta: den klientens lease, dess reservation eller dess egen DHCP-klients beteende är variabeln, och en ändring för hela webbplatsen är fel verktyg.

Statiska adresser och reservationer behöver ett tredje svar. En klient som är bunden till en adress kan inte räddas av en förnyelse, och en reservation som krockar med reservomfånget skapar en dubblett som ser ut som ett routingfel tills du jämför de två adressplanerna.

Skriv ned utträdesproceduren

Bestäm i förväg vad reserven är till för, hur länge en klient får behålla sin tillfälliga adress och vem som får tvinga fram en förnyelse under arbetstid. Skriv svaret där jourhavande ingenjör hittar det, bredvid omfångsdefinitionen. Testa det sedan en gång med avsikt: klipp tunneln, se vad klienten tar emot, återställ tunneln och notera hur lång tid klienten behöver för att få tillbaka sina normala inställningar. Den enda övningen ersätter det mesta av gissningarna nästa gång webbplatslänken fladdrar.

Avsluta med att bekräfta resursen, inte adressen. Att nå filservern, lösa upp dess namn och nå internet är tre separata kontroller, och bara den sista var aldrig ifrågasatt.