VPN của router trông ổn sau khi mất điện? Hãy kiểm tra bốn lớp này

Một router sáng đèn sau sự cố đã khôi phục cấu hình, không phải kết nối. Sau khi mất điện, router có thể khôi phục hồ sơ VPN đã lưu trước khi các phụ thuộc mà hồ sơ đó cần sẵn sàng: modem phía trên có thể vẫn đang huấn luyện, đồng hồ có thể sai và quá trình xác thực có thể chưa hoàn tất. Đèn trên bảng điều khiển và cấu hình đã lưu mô tả ý định, không phải một đường hầm đang hoạt động. Hãy kiểm tra bốn lớp bên dưới theo thứ tự thay vì thay hồ sơ, vì đó là việc người ta làm thứ hai và hối tiếc thứ nhất.

Mọi thứ ở đây giả định bạn có mặt tại chỗ hoặc có một đường vào không phụ thuộc vào đường hầm bạn đang kiểm tra. Nếu không, hãy thu xếp điều đó trước lần mất điện tiếp theo.

Lớp thứ nhất: WAN đã thực sự trở lại chưa

Bắt đầu từ modem, không phải bảng điều khiển của router. Một router hoàn tất khởi động trước khi modem của nó huấn luyện xong sẽ hiển thị một giao diện khỏe mạnh mà không có gì phía sau, và đường hầm không có đối tác nào để đến. Xác nhận modem thực sự chuyển tiếp, sau đó xác nhận router đã nhận các thiết lập WAN mà bạn mong đợi. Cũng kiểm tra xem địa chỉ WAN có thay đổi không: một địa chỉ động trở về khác đi có thể vô hiệu hóa một quy tắc dựa trên địa chỉ hoặc danh sách cho phép từ xa, và từ bên trong mạng thì điều đó trông giống như lỗi VPN.

Một số mạng truy cập cũng yêu cầu một bước chấp nhận mới sau sự cố. Hãy đọc nhật ký của máy khách để tìm giai đoạn thất bại đầu tiên thay vì đoán: lỗi đầu tiên nêu tên lớp, và mọi thứ sau đó là hệ quả. Ghi địa chỉ và kết quả chấp nhận vào phiếu, vì cả hai quyết định cùng một hồ sơ có hoạt động vào ngày mai hay không. Một địa chỉ bị thay đổi là một bản sửa năm phút và một câu đố hai giờ.

Lớp thứ hai: kiểm tra đồng hồ trước chứng chỉ

Đồng hồ sai ảnh hưởng đến hiệu lực của chứng chỉ và mọi thứ dựa trên thời gian, và một thiết bị nhúng khởi động mà không có nguồn thời gian hoạt động có thể nằm ở một ngày cũ trong một lúc. Khi đó việc xác thực chứng chỉ thất bại vì một lý do không liên quan gì đến thông tin đăng nhập. Lỗi hiệu lực có ngày sai lệch nhiều năm chỉ vào đồng hồ; cùng lỗi đó với ngày hiện tại chỉ vào chứng chỉ.

date -u
chronyc tracking

Hãy dùng quy trình khôi phục thời gian được hỗ trợ và xác nhận đồng hồ của router trước khi chạm vào hồ sơ. Tắt xác thực để vượt qua lỗi biến một vấn đề thứ tự tạm thời thành một điểm yếu vĩnh viễn, và đó là cách sửa sai phổ biến nhất trong tình huống này. Nếu thiết bị không có đồng hồ dùng pin, thứ tự khởi động rất quan trọng: nó cần truy cập mạng trước khi đồng bộ thời gian, và cần thời gian trước khi xác thực một đường hầm. Chính thứ tự đó là thứ cần sửa nếu cùng một lỗi lặp lại sau mỗi lần mất điện.

Lớp thứ ba: đọc những gì đường hầm nói

Hãy kiểm tra trạng thái của chính đường hầm và kết quả bắt tay hoặc xác thực của nó, không phải việc giao diện đang hoạt động. Một giao diện có thể tồn tại mà không có đối tác được thiết lập, và một máy khách có thể hiển thị đã kết nối trong khi việc gia hạn khóa thất bại. Tách các lần quá hạn truyền tải khỏi các từ chối rõ ràng: quá hạn gợi ý rằng đường đi hoặc đối tác chưa thể đến được, trong khi từ chối nghĩa là đầu xa đã trả lời và từ chối, thường nhất là do thông tin đăng nhập, chứng chỉ hoặc danh tính đối tác không còn khớp. Gửi người dùng đi đặt lại mật khẩu vì một lần quá hạn là làm mất buổi chiều của mọi người.

Giữ cấu hình tốt cuối cùng đã biết trong tay để so sánh các trường thay vì dựng lại chúng. Nếu một trường đã thay đổi, thay đổi đó chính là phát hiện. Hãy so sánh nó từng trường với bản đã khôi phục thay vì chỉ đọc bản đã khôi phục. Phần lớn những bất ngờ sau sự cố là một trường đã âm thầm quay về giá trị mặc định của mẫu.

Lớp thứ tư: kiểm tra từ một thiết bị phía dưới

Mở một tài nguyên được phép và vô hại từ một máy khách phía sau router, sau đó xác nhận lưu lượng thực sự đã dùng lối ra hoặc tuyến riêng nào. Hãy kiểm tra DNS và từng họ địa chỉ mà bạn cho là đã bao phủ, vì phép thử của chính router có thể thành công trong khi chính sách máy khách vẫn sai — phép thử thường dùng nguồn khác, bảng khác hoặc đường phân giải khác.

curl -s https://ifconfig.me
nslookup example.com

Nếu đường hầm đang chết và không chỉ bị cấu hình sai, hãy quyết định xem các máy khách bị ảnh hưởng phải bị chặn hay được dùng một phương án dự phòng đã được phê duyệt. Lựa chọn đó thuộc về kế hoạch chuyển đổi trước sự cố, không phải một luồng trò chuyện trong sự cố. Hãy ghi lối ra và bộ phân giải quan sát được vào phiếu sự cố. Hai dòng bây giờ tiết kiệm cho người tiếp theo một giờ đoán xem đường nào đã hoạt động trong khoảng thời gian đó.

Cần sửa gì để lần mất điện tiếp theo ngắn hơn

Nếu lỗi lặp lại, cách sửa là thứ tự, không phải cấu hình: đưa WAN lên, rồi thời gian, rồi đường hầm, rồi chính sách máy khách. Hầu hết router diễn đạt điều đó như một phụ thuộc hoặc một độ trễ, và một độ trễ ngắn có chủ đích tốt hơn việc viết lại hồ sơ.

Sau đó lặp lại bài kiểm tra khởi động lại thông thường sau khi bạn thay đổi, bao gồm cả kiểm tra phía máy khách. Một bài kiểm tra khởi động lại chỉ nhìn vào bảng điều khiển của router kiểm tra lớp ít thông tin nhất trong bốn lớp.