كيف تبني سياسة تجاوز فشل لـ VPN على الموجّه من دون تسريبات

عمل تجاوز الفشل تمامًا كما هو مُهيّأ، وكان ذلك هو المشكلة۔ عندما سقط النفق الأساسي، نقل الموجّه المسار الافتراضي إلى مودم الكابل، واستمرت الحواسيب المحمولة في التصفّح، ولم يتصل أحد۔ بعد يومين لاحظ شخص أن مجلد المالية المشترك ظل متاحًا عبر مسار الإنترنت المفتوح ست ساعات۔ سياسة تجاوز الفشل للـ VPN على الموجّه ليست حيلة توجيه؛ بل قرار بشأن ما ينبغي أن يفعله المرور عند غياب المسار المفضّل، ويجب أن يوجد هذا القرار قبل أن يختفي المسار۔

حدّد النتيجة قبل أن تختار الكاشف

ثلاث نتائج عادةً مطروحة: إرسال العملاء المتأثرين عبر نفق احتياطي، أو تركهم يستخدمون WAN العادي، أو حجبهم كليًا۔ اكتب أيّها ينطبق على أي VLAN أو SSID أو فئة أجهزة۔ قاعدة واحدة مسطّحة «التحويل إلى WAN» هي كيف انتهى مجلد المالية أعلاه على مسار عام۔

الثلاث ليست قابلة للتبادل۔ الاحتياط عبر WAN يُبقي مكتب الدعم يردّ على الهواتف بينما يعرّض الأسماء الداخلية للمُحلّل المحلي۔ النفق الاحتياطي يحفظ السياسة لكنه قد يهبط على عنوان خروج لا يقبله الطرف الآخر۔ الحجب صحيح لـ VLAN الرواتب وخطأ لشبكة ضيوف لم تستخدم النفق أصلًا۔

طابِق الكاشف مع العطل الذي تخشاه فعلًا

حالة المصافحة وحالة الواجهة وإعادة التوجيه القابلة للاستخدام ثلاثة إشارات مختلفة، ولا يهم المستخدم إلا الأخيرة۔ يمكن لقرين WireGuard أن يُظهر مصافحة حديثة بينما يعمل المنبع لدى المزوّد على إسقاط الحزم۔ OpenVPN قد يبقى العميل على «متصل» بعد أن يتوقف المسار الذي دفعه عن الحل۔

على pfSense الترتيب العملي هو مجموعة بوابات يغذّيها dpinger، الذي يفحص عنوان مراقبة ويعلّم بوابة بأنها معطّلة عندما يتجاوز الفقد أو الكمون عتباته۔ وجّه تلك المراقبة إلى شيء خارج النفق، مثل مضيف على LAN البعيدة أو عنوان عام تصل إليه عبره۔ توجيهها إلى عنوان القرين الخاص بالنفق يقيس الجزء الذي تعرف أصلًا أنه حي۔

ابنِ المجموعة بحيث يبقى الاحتياطي الملاذ الأخير

استخدم طبقات بدل قائمة أعضاء مسطّحة۔ الأساسي في الطبقة 1، والنفق الاحتياطي في الطبقة 2، وWAN في الطبقة 3 فقط لشبكات VLAN التي تسمح سياستها بذلك۔ في pfSense يوجد هذا تحت System > Routing > Gateway Groups: أضف البوابتين، وأعطهما طبقتين مختلفتين، واضبط Trigger Level على member down plus packet loss، واحفظ، ثم طبّق المجموعة كافتراضي الواجهة أو في حقل Gateway في قواعد الجدار الناري التي تحتاجها۔

بالنسبة إلى نسخة عميل OpenVPN على pfSense 2.5 وما بعده، يحدّد إعداد Default Gateway للنسخة ما إذا كان النفق يستبدل مسار النظام الافتراضي أصلًا۔ توجيه السياسات بالقاعدة لا يعمل كما تتوقع إلا عندما يكون المسار الذي تفترضه مثبّتًا فعلًا۔ تحقّق من Status > Gateways بعد التغيير بدل الوثوق بأيقونة حالة النفق۔

إعدادان يسبّبان معظم التذبذب۔ أحدهما فاصل فحص أقصر من إعادة التقارب لدى المزوّد نفسه۔ والآخر مجموعة يتشارك فيها الأساسي والاحتياطي الطبقة نفسها، فيبقى كلاهما مؤهلًا في كل الأوقات۔ أضف تباطؤًا عبر عتبات الفقد والكمون قبل أن يشعر مستخدموك بالانتقالات نيابة عنك۔

أغلق المسارات التي لم يملكها النفق قط

تسريبات DNS أولًا۔ يظل المُحلّل يجيب على WAN ويمرّر عبره، فتبقى الأسماء تُحلّ عبر المزوّد بينما المرور مثبّت على النفق۔ قيّد واجهات الخروج للمُحلّل، وادفع المُحلّل الداخلي إلى العملاء، واحجب المنفذ 53 عن كل شيء آخر على شبكات VLAN الخاصة بالـ VPN فقط۔

يحتاج IPv6 إلى قرار خاص به۔ يمكن لشبكة LAN مزدوجة الحزمة أن تفقد النفق وتحتفظ بمسار افتراضي عام عامل لـ IPv6، فتفضّل المتصفحات IPv6 وتخرج عبر WAN بينما يبدو IPv4 محصورًا تمامًا۔ إمّا وجّه IPv6 داخل النفق أو توقّف عن إعلان بادئة عامة بينما النفق معطّل۔ نصف سياسة أسوأ من لا شيء، لأنها تبدو كأنها تعمل۔

ثم مسار العودة۔ إذا استخدم مخرج الاحتياطي عنوان مصدر مختلفًا، فيجب أن يعرف الطرف الآخر كيف يرسل المرور إليه، وكل حالة مرتبطة بالعنوان القديم ميتة أصلًا۔ الجلسات المفتوحة عند سقوط الأساسي لا تنتقل؛ بل تتعطّل حتى تنتهي مهلتها ويقرّر التطبيق ما يفعل حيالها۔

اختبر السقوط والتذبذب وطريق العودة

اسحب الأساسي مع تشغيل مرور غير ضار، ثم اقرأ أربعة أشياء: Status > Gateways لحالات أعضاء المجموعة، pfctl -ss للحالات المثبّتة على البوابة القديمة، وtraceroute من عميل لمسار الخروج، واستعلام مُحلّل لمعرفة أي خادم أجاب۔

ذبذبه الآن۔ ارفع الأساسي ثلاثين ثانية، وأنزله ثلاثين، مرتين۔ إذا لاحق المرور كل انتقال، فالعتبات ضيّقة جدًا أو الطبقات خاطئة۔ أصلح ذلك وفق جدولك، وإلا فسيفعله مزوّد وفق جدوله۔

أخيرًا، تأكّد أنك ما زلت تستطيع إدارة الموجّه۔ احتفظ بمسار خارج النطاق مثل كبل وحدة تحكم أو VLAN إدارة أو مودم خلوي۔ اختبار تجاوز فشل يُقفل عليك هو اختبار لا يمكنك إتمامه، والموجّه غير القابل للوصول لا يمكنه العودة تلقائيًا۔

قبل أن تعلن انتهاء السياسة، ينبغي أن تكون قادرًا على الإجابة عن أربعة أسئلة دون فتح طرفية: أي شبكات VLAN يجوز لها استخدام WAN بينما النفق معطّل، وما الذي يراقبه الكاشف وكم ينتظر، وأي خوادم أسماء ومسارات IPv6 تتحرك مع المسار، وكيف تعود إذا فشل الاحتياطي أيضًا۔ إذا كان أي جواب «أيًا كان الافتراضي»، فالسياسة ما زالت تخصّ الموجّه لا أنت۔