Bộ định tuyến mới, cùng máy chủ VPN: di chuyển lối vào công cộng của nó

Bạn cắm bộ định tuyến mới, internet trở lại, và ứng dụng VPN trên điện thoại vẫn trỏ tới một địa chỉ không còn phản hồi. Trên máy chủ VPN không có gì thay đổi, vì máy chủ chưa bao giờ di chuyển. Bộ định tuyến là điểm vào công cộng, và việc thay nó đã thay địa chỉ, quy tắc chuyển tiếp và có lẽ cả trình cập nhật DNS động cùng lúc.

Coi việc thay thế là hai lần bàn giao, không phải một, và giữ một đường cục bộ vào giao diện quản trị trong khi làm việc.

Ghi lại bàn giao trước khi rút dây

Ghi lại tiền tố LAN, địa chỉ máy chủ và cách nó được cấp, trình lắng nghe và giao thức vận chuyển mà VPN thực sự dùng, quy tắc vào cho phép công bố nó, và tên mà ứng dụng khách đã lưu. Sau đó ghi lại máy nào đang cập nhật bản ghi DNS động hôm nay: có thể là bộ định tuyến, chính máy chủ hoặc một tác nhân riêng trên máy khác. Làm việc này khi các trang quản trị cũ vẫn còn tải được. Ảnh chụp quy tắc vào đáng giá hơn một số cổng nhớ trong đầu.

Thêm các tiền tố riêng mà ứng dụng khách cần tới, và cách thiết bị trong LAN gửi phản hồi trở lại. Cả hai đều dễ quên vì trình hướng dẫn thay thế nói về truy cập internet, không nói về đường trở về. Cũng xuất cấu hình cũ nếu nhà sản xuất hỗ trợ khôi phục nó, đồng thời chấp nhận rằng bản sao lưu của một mẫu hiếm khi nhập sạch vào mẫu khác.

Giữ bản ghi đó ở nơi được bảo vệ. Bản sao lưu bộ định tuyến có thể chứa thông tin đăng nhập cho đường WAN. Hãy đối xử với tệp xuất như mật khẩu chứ không phải ghi chú cài đặt.

Chuyển địa chỉ trước, rồi đến chuyển tiếp

Nếu bộ định tuyến mới giữ nguyên tiền tố LAN, hãy cấp cho máy chủ đặt trước cũ hoặc một gán tĩnh tương đương. Nếu tiền tố thay đổi, hãy cập nhật địa chỉ máy chủ trước và mọi ràng buộc trình lắng nghe nêu nó, vì một chuyển tiếp trỏ tới địa chỉ cũ sẽ âm thầm gửi lưu lượng đi vào hư không.

Sau đó tạo đúng một quy tắc vào cho giao thức vận chuyển mà VPN dùng. Các hướng dẫn của nhà sản xuất mô tả chuyển tiếp tới máy chủ cục bộ trình bày cơ chế, không phải công thức phổ quát, nên hãy khớp quy tắc với giao thức và cổng thật của bạn chứ không phải danh sách từ một blog. Một chuyển tiếp trên bộ định tuyến mới không thể loại bỏ NAT cấp nhà mạng nằm phía trên, và không quy tắc cục bộ nào làm cho địa chỉ riêng truy cập được từ internet nếu nhà cung cấp đã chia sẻ một địa chỉ với bạn.

Xác nhận rằng tường lửa của chính máy chủ vẫn cho phép lưu lượng đó. Kiểm tra xem có cổng thứ hai nằm giữa bộ định tuyến và internet không, vì nhiều nhà cung cấp phát modem và bộ định tuyến gộp chung. Đọc địa chỉ WAN trên thiết bị mới và so với địa chỉ mà ứng dụng khách phân giải. Nếu khác nhau, chuyển tiếp của bạn đang hạ cánh trên thứ không phải là rìa.

Quyết định ai cập nhật tên công cộng

Việc cập nhật điểm cuối cần một chủ sở hữu và chỉ một. Nếu bộ định tuyến cũ công bố tên, hãy cấu hình một trình cập nhật được hỗ trợ trên thiết bị thay thế và xác nhận bản ghi thực sự đã thay đổi. Nếu máy chủ đã công bố nó, hãy để nguyên cách sắp xếp đó thay vì thêm một trình cập nhật cạnh tranh dao động giữa hai địa chỉ.

Khi triển khai công bố cả hai họ địa chỉ, hãy đọc cả bản ghi A và AAAA. Mỗi bản ghi phải trỏ tới một dịch vụ thực sự lắng nghe và được cho phép qua đường tường lửa riêng của nó, và một ánh xạ IPv4 hoạt động không nói gì về phía IPv6. Cũng giữ các kiểm tra danh tính trong hồ sơ ứng dụng khách: một địa chỉ công cộng đã thay đổi không phải lý do để chấp nhận chứng chỉ hay khóa đối tác không khớp.

Chứng minh việc thay thế từ bên ngoài

Kiểm tra bằng kết nối ngoài được cấp phép và phiên mới, không phải từ bên trong LAN. Kiểm tra nội bộ với địa chỉ công cộng phụ thuộc vào hành vi hairpin và đi theo con đường khác với một ứng dụng khách thật.

Theo đúng trình tự mà ứng dụng khách đi: phân giải tên, thương lượng đường hầm, xác thực danh tính, rồi thực hiện một thao tác với tài nguyên riêng. Chính bước cuối cùng đó là bước người ta bỏ qua, và cũng chỉ nó chứng minh đường trở về. Nếu đăng nhập thành công nhưng thao tác riêng thất bại, hãy so sánh tiền tố LAN mới, các tuyến mà ứng dụng khách đã chọn và đường phản hồi của tài nguyên với ghi chú bàn giao của bạn.

Chỉ sau khi cả bốn bước đều qua, bộ định tuyến cũ mới an toàn để cho nghỉ. Rút điện rồi lặp lại bài kiểm tra bên ngoài thêm một lần. Một bản ghi cũ vẫn phân giải về địa chỉ cũ sẽ thất bại ngay từ bước đầu tiên, và điều đó dễ chẩn đoán hơn khi thiết bị cũ còn trên giá.

Giữ ánh xạ mới cùng ghi chú khôi phục của bạn

Lưu trữ việc gán máy chủ cuối cùng, quy tắc vào và tên chủ sở hữu cập nhật bên cạnh quy trình tiếp cận bộ định tuyến cục bộ. Lần thay thế tiếp theo nên bắt đầu từ trang đó chứ không phải từ traceroute.

Nếu đường hầm vẫn thất bại từ bên ngoài sau tất cả những điều trên, hãy kiểm tra xem địa chỉ công cộng mà bộ định tuyến báo cáo có khớp với địa chỉ mà ứng dụng khách phân giải không. Chính một phép so sánh đó tách vấn đề DNS khỏi vấn đề chuyển tiếp, và nó tốn ít thời gian hơn đọc thêm một hướng dẫn chuyển tiếp cổng.