Новий маршрутизатор, той самий VPN-сервер: перенесіть його публічний вхід

Ви підключаєте новий маршрутизатор, інтернет повертається, а VPN-клієнт на телефоні все ще вказує на адресу, яка більше не відповідає. На VPN-сервері нічого не змінилося, бо сервер нікуди не переїжджав. Маршрутизатор був публічною точкою входу, і його заміна замінила адресу, правило переспрямування і, можливо, програму оновлення динамічного DNS одночасно.

Ставтеся до заміни як до двох передач, а не однієї, і зберігайте локальний шлях до інтерфейсу адміністрування, поки працюєте.

Запишіть передачу до відключення

Запишіть префікс LAN, адресу сервера і спосіб її призначення, слухача й транспорт, які VPN справді використовує, вхідне правило, що його публікує, і ім'я, яке зберегли клієнти. Потім позначте, яка машина сьогодні оновлює запис динамічного DNS: це може бути маршрутизатор, сам сервер або окремий агент на іншому хості. Зробіть це, поки старі сторінки адміністрування ще завантажуються. Знімок екрана вхідного правила кращий за запам'ятований номер порту.

Додайте приватні префікси, до яких мають досягати клієнти, і те, як пристрої в LAN надсилають відповіді назад. І те, і друге легко забути, бо майстер заміни говорить про доступ до інтернету, а не про зворотні шляхи. Експортуйте й стару конфігурацію, якщо виробник підтримує її відновлення, приймаючи, що резервна копія однієї моделі рідко імпортується чисто в іншу.

Тримайте цей запис у захищеному місці. Резервна копія маршрутизатора може містити облікові дані для каналу WAN. Ставтеся до експортованого файлу як до пароля, а не як до нотатки про налаштування.

Спершу перенесіть адресу, потім переспрямування

Якщо новий маршрутизатор зберігає той самий префікс LAN, дайте серверу попереднє резервування або рівноцінне статичне призначення. Якщо префікс змінюється, спершу оновіть адресу сервера і будь-яку прив'язку слухача, що її називає, бо переспрямування на стару адресу буде тихо надсилати трафік у нікуди.

Потім створіть рівно одне вхідне правило для транспорту, який використовує VPN. Посібники виробників, що описують переспрямування на локальний сервер, показують механізм, а не універсальний рецепт, тому прив'яжіть правило до свого реального протоколу та порту, а не до списку з блогу. Переспрямування на новому маршрутизаторі не може прибрати NAT рівня оператора, що стоїть вище, і жодне локальне правило не зробить приватну адресу доступною з інтернету, якщо провайдер уже ділить одну з вами.

Переконайтеся, що власний брандмауер сервера досі пропускає цей трафік. Перевірте, чи не стоїть між маршрутизатором та інтернетом другий шлюз, бо багато провайдерів видають суміщені модем і маршрутизатор. Прочитайте адресу WAN на новому пристрої та порівняйте її з адресою, яку розв'язують клієнти. Якщо вони різняться, ваше переспрямування потрапляє на щось, що не є краєм.

Вирішіть, хто оновлює публічне ім'я

Оновлення кінцевої точки потребують одного власника і лише одного. Якщо старий маршрутизатор публікував ім'я, налаштуйте підтримуваний засіб оновлення на заміні та підтвердьте, що запис справді змінився. Якщо сервер уже публікував його, залиште цей порядок у спокої, замість додавати конкуруючий засіб, що хитається між двома адресами.

Коли розгортання публікує обидві родини адрес, читайте і запис A, і запис AAAA. Кожен має вказувати на службу, яка справді слухає і дозволена через власний шлях брандмауера, а робоче зіставлення IPv4 нічого не каже про бік IPv6. Зберігайте й перевірки ідентичності в профілі клієнта: змінена публічна адреса не є причиною приймати сертифікат або ключ партнера, що не збігається.

Доведіть заміну ззовні

Перевіряйте через авторизоване зовнішнє з'єднання та нову сесію, а не зсередини LAN. Внутрішня перевірка за публічною адресою залежить від поведінки повернення на власну адресу і йде іншим шляхом, ніж справжній клієнт.

Дотримуйтеся послідовності, якої дотримується клієнт: розв'яжіть ім'я, узгодьте тунель, пройдіть автентифікацію, потім виконайте одну операцію з приватним ресурсом. Саме цей останній крок люди пропускають, і лише він доводить шлях повернення. Якщо вхід вдається, а приватна операція не проходить, порівняйте новий префікс LAN, маршрути, які вибрав клієнт, і шлях відповіді ресурсу зі своїми нотатками про передачу.

Лише після того, як пройдено всі чотири кроки, старий маршрутизатор можна безпечно вивести з експлуатації. Відключіть його і повторіть зовнішню перевірку ще раз. Застарілий запис, який досі розв'язується на стару адресу, відмовляє вже на першому кроці, і це легше діагностувати, поки старий пристрій ще на полиці.

Зберігайте нове зіставлення разом із нотатками про відновлення

Заархівуйте підсумкове призначення сервера, вхідне правило та ім'я власника оновлення поруч із процедурою локального доступу до маршрутизатора. Наступна заміна має починатися з цієї сторінки, а не з traceroute.

Якщо тунель досі не працює ззовні після всього переліченого, перевірте, чи збігається публічна адреса, яку повідомляє маршрутизатор, з тією, яку розв'язують клієнти. Це єдине порівняння відділяє проблему DNS від проблеми переспрямування, і воно займає менше часу, ніж читання ще одного посібника з переспрямування портів.