Tweede VPN-eindpunt: wat dit dek en wat nie

Twee eindpunte op papier lyk soos oortolligheid. In die praktyk help ’n tweede adres net wanneer kliënte dit kan bereik en wanneer dit die fout vermy waarvoor jy beplan. Twee bedieners agter dieselfde toegangskonneksie, dieselfde rekening of dieselfde teikennetwerk val saam. Die nuttige vraag is watter enkele fout die tweede eindpunt verwyder.

Vergelyk wat albei eindpunte deel

Lys wat die twee eindpunte gemeen het voordat jy tel wat hulle dupliseer. Gasheerlokasie, verskafferrekening, opstroomse deurvoer, DNS-gasheer, die identiteitsbron en die private hulpbron agter die tonnel verteenwoordig elkeen óf ’n gedeelde afhanklikheid óf ’n onafhanklike een. Twee virtuele masjiene in een streek deel ’n verskafferonderbreking. Twee streke onder een rekening deel steeds die faktureringsverhouding en die beheervlak wat hulle voorsien.

Die teikennetwerk verdien dieselfde behandeling. ’n Gesonde rugsteungateway kan nie ’n NAS wat vanlyn is herstel nie, en dit kan nie ’n kantoor netwerk bereik waarvan die opstroomkoppeling af is nie. As albei eindpunte in dieselfde private subnet eindig, voeg die tweede een ’n pad by na ’n bestemming wat reeds die enkele foutpunt is.

Identiteit is die afhanklikheid wat mense vergeet. Om die sertifikaat en die konfigurasie na ’n tweede gasheer te kloon, skep twee plekke waar dieselfde geloofsbriewe gekopieer kan word, en dit sê niks oor hoe herroepings albei bereik nie.

Besluit hoe ’n kliënt oorskakel

’n Tweede eindpunt is net nuttig as die kliënt daarvan weet en dit sonder ’n ondersteuningsoproep kan kies. OpenVPN-verbindingsprofiele kan verskeie remote reëls met ’n keusebeleid dra, en meeste kliënte bied ’n alternatiewe profiel in ’n kieslys. Maak nie saak watter meganisme nie, skryf neer watter een jou gebruikers het, want ’n profiel wat hulle nie kan vind nie, is nie oorskakeling nie.

Lees die kliëntdokumentasie oor adresveranderings tydens ’n sessie. Sommige implementasies hou die oorspronklike eweknie vir die lewensduur van die tonnel en raadpleeg alternatiewes eers wanneer hulle weer koppel. Daardie onderskeid bepaal of ’n dooie eindpunt ’n kort onderbreking veroorsaak of ’n sessie wat nooit herstel nie. Toets die herkoppelingspad eerder as om te aanvaar dat dit gebeur.

’n Veranderde uitgangsadres breek ook toestand van toepassings. Oorskakeling is herstel, en om dit as ononderbroke kontinuïteit te beskryf, skep ’n verwagting wat die transport nie kan nakom nie.

Toets een werklike fout

Kies een beheerde onderbreking en voer dit van begin tot einde uit, eerder as om die ontwerpdokument te vertrou. Stop die primêre eindpunt en bevestig dan dat ’n gemagtigde kliënt die beoogde toepassing deur die alternatief bereik terwyl ongemagtigde kliënte steeds nie kan nie. Teken aan hoe lank die oorskakeling geneem het en wat die toepassing gesien het.

dig +short vpn2.example.net
ip route get 10.20.30.41
journalctl -u openvpn@backup --since '-10 min'

Die eerste opdrag bevestig dat die rugsteunnaam na iets routeerbaars oplos voordat jy dit nodig het, wat die goedkoopste toets hier is. Die tweede wys watter koppelvlak die kern vir ’n private bestemming sou gebruik sodra die alternatief op is. Die derde gee die kliëntlog wat die eweknie noem waaraan dit werklik gekoppel het, en dit is die enigste bewys dat die oorskakeling gebeur het. Let ook op die blokkeringsgedrag tydens die gaping, want ’n beleid wat verkeer lek terwyl daar oorgeskakel word, is erger as ’n kort onderbreking.

Bring dan die oorspronklike terug en bevestig of die kliënt terugkeer. ’n Terugval wat per ongeluk gebeur, is gedrag waarvoor niemand beplan het nie.

Skryf neer wat die tweede adres oplewer

Som die dekking in een paragraaf op: watter fout die tweede eindpunt verwyder, watter foute dit met die eerste deel, en op watter aannames die oorskakeling berus. Noem die kliëntkant-meganisme plus die private roetes en DNS-gedrag wat op albei plekke moet bestaan. ’n Openbare internetuitgang is nie ’n plaasvervanger vir ’n private gateway nie, en ’n dokument wat hulle as uitruilbaar behandel, sal geglo word. Voeg die hersteltoets by wat jy uitgevoer het, met die datum en die resultaat.

Onafhanklikheid van een bediener is nie onafhanklikheid van die gedeelde rekening of die teikennetwerk nie. Die paragraaf wat dit hardop sê, is wat keer dat ’n tweede adres intern as hoë beskikbaarheid verkoop word. Dit sê ook vir die volgende operateur wat eerste om te kyk wanneer die paar saam val.