เราเตอร์ใหม่ เซิร์ฟเวอร์ VPN เดิม: ย้ายทางเข้าสาธารณะของมัน

คุณเสียบเราเตอร์ใหม่ อินเทอร์เน็ตกลับมา แต่ไคลเอนต์ VPN บนโทรศัพท์ยังชี้ไปยังที่อยู่ที่ไม่ตอบสนองแล้ว ไม่มีอะไรเปลี่ยนบนเซิร์ฟเวอร์ VPN เพราะเซิร์ฟเวอร์ไม่เคยย้าย เราเตอร์คือจุดเข้าสาธารณะ และการเปลี่ยนมันได้เปลี่ยนที่อยู่ กฎการส่งต่อ และอาจรวมถึง ตัวอัปเดต DNS แบบไดนามิก ในเวลาเดียวกัน

มองการเปลี่ยนเป็นสองการส่งมอบ ไม่ใช่หนึ่ง และเก็บช่องทางท้องถิ่นเข้าสู่หน้าจัดการไว้ระหว่างทำงาน

เขียนการส่งมอบก่อนถอดปลั๊ก

บันทึกคำนำหน้า LAN ที่อยู่เซิร์ฟเวอร์และวิธีที่ได้รับ ตัวรับฟังและโปรโตคอลขนส่งที่ VPN ใช้จริง กฎขาเข้าที่เผยแพร่มัน และชื่อที่ไคลเอนต์บันทึกไว้ จากนั้นบันทึกว่าเครื่องใดอัปเดตระเบียน DNS แบบไดนามิกในวันนี้: อาจเป็นเราเตอร์ ตัวเซิร์ฟเวอร์เอง หรือเอเจนต์แยกบนโฮสต์อื่น ทำเช่นนี้ขณะที่หน้าจัดการเก่ายังโหลดอยู่ ภาพหน้าจอของกฎขาเข้ามีค่ากว่าหมายเลขพอร์ตที่จำไว้

เพิ่มคำนำหน้าแบบส่วนตัวที่ไคลเอนต์ควรเข้าถึง และวิธีที่อุปกรณ์ใน LAN ส่งคำตอบกลับไป ทั้งสองอย่างลืมง่ายเพราะตัวช่วยเปลี่ยนเราเตอร์พูดถึงการเข้าถึงอินเทอร์เน็ต ไม่ได้พูดถึงเส้นทางขากลับ ส่งออกการกำหนดค่าเก่าด้วยหากผู้ผลิตสนับสนุนการกู้คืน โดยยอมรับว่าสำรองข้อมูลของรุ่นหนึ่งแทบจะไม่นำเข้าใน อีกรุ่นอย่างสะอาด

เก็บบันทึกนั้นไว้ในที่ที่ได้รับการป้องกัน สำรองข้อมูลของเราเตอร์อาจมีข้อมูลรับรองสำหรับลิงก์ WAN ปฏิบัติต่อไฟล์ส่งออกเหมือนรหัสผ่าน ไม่ใช่เหมือนบันทึกการตั้งค่า

ย้ายที่อยู่ก่อน แล้วจึงย้ายการส่งต่อ

หากเราเตอร์ใหม่คงคำนำหน้า LAN เดิม ให้จองที่อยู่เดิมแก่เซิร์ฟเวอร์หรือกำหนดแบบคงที่ที่เทียบเท่า หากคำนำหน้าเปลี่ยน ให้อัปเดตที่อยู่เซิร์ฟเวอร์ก่อนและทุกการผูกตัวรับฟังที่อ้างถึงมัน เพราะการส่งต่อที่ชี้ไปยังที่อยู่เก่าจะส่งทราฟฟิกไปอย่างไร้จุดหมายอย่างเงียบ ๆ

จากนั้นสร้างกฎขาเข้าหนึ่งกฎพอดีสำหรับโปรโตคอลขนส่งที่ VPN ใช้ คู่มือผู้ผลิตที่อธิบายการส่งต่อไปยังเซิร์ฟเวอร์ภายในแสดงกลไก ไม่ใช่สูตรสากล ดังนั้นจับคู่กฎกับโปรโตคอลและพอร์ตจริงของคุณ ไม่ใช่กับรายการจากบล็อก การส่งต่อบนเราเตอร์ใหม่ไม่สามารถลบ NAT ระดับผู้ให้บริการที่อยู่เหนือขึ้นไปได้ และไม่มีกฎภายในใดทำให้ที่อยู่ส่วนตัวเข้าถึงได้จากอินเทอร์เน็ตหากผู้ให้บริการแบ่งปันอยู่แล้วกับคุณ

ยืนยันว่าไฟร์วอลล์ของเซิร์ฟเวอร์เองยังอนุญาตทราฟฟิกนั้น ตรวจสอบว่ามีเกตเวย์ที่สองคั่นระหว่างเราเตอร์กับอินเทอร์เน็ตหรือไม่ เพราะผู้ให้บริการหลายรายให้โมเด็มและเราเตอร์รวมกัน อ่านที่อยู่ WAN บนอุปกรณ์ใหม่และเปรียบเทียบกับที่อยู่ที่ไคลเอนต์แปลง ทำได้ต่างกันแปลว่าการส่งต่อของคุณลงจอดบนสิ่งที่ไม่ใช่ขอบ

ตัดสินใจว่าใครอัปเดตชื่อสาธารณะ

การอัปเดตจุดปลายต้องมีเจ้าของหนึ่งรายเท่านั้น หากเราเตอร์เก่าเป็นผู้เผยแพร่ชื่อ ให้กำหนดค่าตัวอัปเดตที่รองรับบนเครื่องแทนและยืนยันว่าระเบียนเปลี่ยนจริง หากเซิร์ฟเวอร์เผยแพร่อยู่แล้ว ปล่อยการจัดวางนั้นไว้แทนที่จะเพิ่มตัวอัปเดตคู่แข่งที่แกว่งระหว่างสองที่อยู่

เมื่อการติดตั้งเผยแพร่ทั้งสองตระกูลที่อยู่ ให้อ่านทั้งระเบียน A และ AAAA แต่ละรายการต้องชี้ไปยังบริการที่รับฟังจริงและได้รับอนุญาตผ่านเส้นทางไฟร์วอลล์ของตัวเอง และการแมป IPv4 ที่ทำงานไม่ได้บอกอะไรเกี่ยวกับฝั่ง IPv6 รักษาการตรวจสอบตัวตนในโปรไฟล์ไคลเอนต์ไว้ด้วย: ที่อยู่สาธารณะที่เปลี่ยนไป ไม่ใช่เหตุผลที่จะยอมรับใบรับรองหรือคีย์คู่ที่ตรงกันไม่ได้

พิสูจน์การเปลี่ยนจากภายนอก

ทดสอบด้วยการเชื่อมต่อภายนอกที่ได้รับอนุญาตและเซสชันใหม่ ไม่ใช่จากภายใน LAN การทดสอบภายในกับที่อยู่สาธารณะขึ้นอยู่กับพฤติกรรม hairpin และเดินคนละเส้นทางกับไคลเอนต์จริง

ทำตามลำดับที่ไคลเอนต์ทำ: แปลงชื่อ เจรจาอุโมงค์ ยืนยันตัวตน แล้วดำเนินการหนึ่งอย่างกับทรัพยากรส่วนตัว ขั้นตอนสุดท้ายนั้นคือสิ่งที่ผู้คนข้ามไป และเป็นสิ่งเดียวที่พิสูจน์เส้นทางขากลับ หากเข้าสู่ระบบได้แต่การดำเนินการส่วนตัวล้มเหลว ให้เปรียบเทียบคำนำหน้า LAN ใหม่ เส้นทางที่ไคลเอนต์เลือก และเส้นทางตอบกลับของทรัพยากรกับบันทึกการส่งมอบของคุณ

หลังทั้งสี่ขั้นตอนผ่านแล้วเท่านั้นจึงปลอดภัยที่จะปลดระวางเราเตอร์เก่า ถอดปลั๊กแล้วทดสอบภายนอกซ้ำอีกครั้ง ระเบียนที่ล้าสมัยซึ่งยังแปลงไปยังที่อยู่เก่าจะล้มเหลวตั้งแต่ขั้นแรก และวินิจฉัยได้ง่ายกว่าขณะที่อุปกรณ์เก่ายังอยู่บนชั้น

เก็บการแมปใหม่ไว้กับบันทึกการกู้คืนของคุณ

เก็บการกำหนดเซิร์ฟเวอร์ขั้นสุดท้าย กฎขาเข้า และชื่อเจ้าของการอัปเดตไว้ข้างขั้นตอนการเข้าถึงเราเตอร์จากภายใน การเปลี่ยนครั้งต่อไปควรเริ่มจากหน้านั้น ไม่ใช่จาก traceroute

หากอุโมงค์ยังล้มเหลวจากภายนอกหลังจากทั้งหมดข้างต้น ตรวจสอบว่าที่อยู่สาธารณะที่เราเตอร์รายงานตรงกับที่ไคลเอนต์แปลงหรือไม่ การเปรียบเทียบเพียงครั้งเดียวนั้นแยกปัญห DNS ออกจากปัญหาการส่งต่อ และใช้เวลาน้อยกว่าการอ่านคู่มือการส่งต่อพอร์ตอีกเล่ม