بوابتان لـ IPsec بلا عنوان IP مشترك: ما الذي يفعله التحويل الاحتياطي فعلاً

أوقف البوابة A أثناء اجتماع وراقب النفق يعود عبر B بعد دقيقة؛ الاتصال يعمل، وقد لا تعمل مكالمة الفيديو. هذا هو الشكل الصادق للتحويل الاحتياطي البارد بين بوابتين لـ IPsec بعنوانين مستقلين. يعيد العميل اختيار نقطة طرفية ويبني علاقة جديدة، ما يستعيد الوصول دون نقل الحالة التشفيرية للجلسة القديمة. واستعراض التسلسل يجعل واضحاً أي الوعود يستطيع التصميم الوفاء بها.

تحديد المشهد: عنوانان، بلا عنوان IP عائم

تستجيب البوابة A على عنوان واحد يمكن الوصول إليه، وتستجيب البوابة B على عنوان آخر. ولدى العميل طريقة معتمدة لاختيار B عندما تغيب A، ولا يوجد عنوان خارجي مشترك تدّعيه البوابتان. في هذا التصميم، يعني «IP الظاهري» نقطة الدخول المشتركة هذه، لا العنوان الداخلي المخصص لعميل الوصول عن بُعد.

هذا التعريف مهم لأن الفكرتين تختلطان في تذاكر الدعم، ولأن إصلاح إحداهما ليس إصلاحاً للأخرى. التقرير الذي يقول إن نقطة الدخول المشتركة لم تتبع البوابة يصف تصميماً واحداً. والتقرير الذي يقول إن الحاسوب المحمول فقد عنوانه الداخلي يصف استئجار العميل. مالكون مختلفون، وسجلات مختلفة، وإصلاحات مختلفة.

استعراض الفشل: الاكتشاف ثم إعادة الاختيار

أولاً يلاحظ شيء ما أن A توقفت عن الاستجابة. قد يكون ذلك كشف النظير الميت في طبقة النفق، أو بروتوكول توجيه يسحب مساراً، أو مهلة تطبيق تفرض أخيراً إعادة الاتصال. لكل منها مقياس زمني مختلف، والأبطأ عادةً هو ما يحدد مدة انتظار المستخدمين.

ثم يختار العميل B عبر أي آلية يدعمها النشر: نقطة بعيدة ثانية مُعدّة، أو اسم DNS يُحل إلى عنوان سليم، أو توجيه يفضّل الآن مساراً مختلفاً. الاختيار خطوة سياسية، ويجب أن يكون موجوداً قبل الفشل وإلا سيحدث بالمصادفة.

ما يمكن أن يرثه B وما لا يمكنه

يمكن لـ B أن يشارك A في قالب إعداد وسلطة شهادات وسياسة مصادقة. لكنه لا يستطيع أن يرث ارتباطات الأمان الحية. مفاتيح الجلسة ومؤشرات معاملات الأمان وحالة التسلسل تنتمي إلى العلاقة التي أنشأها A والعميل، وليس لدى B أي منها.

نقل تلك الحالة بين البوابات مشكلة هندسية حقيقية، ولهذا تعالج وثائق strongSwan للتوافر العالي هذه المسألة كتصميم عنقودي لا كعلم إعداد. ووصفة عنقودية معينة ليست جواباً عاماً لشبكة سحابية، ونسخها دون البنية التحتية الداعمة يشتري التعقيد بدل الاستمرارية.

إنشاء علاقة جديدة

بعد اختيار B، ينفذ العميل تبادل IKE جديداً: قيم nonce جديدة، وقيم Diffie-Hellman جديدة، ومعرّفات جديدة للارتباطات الناتجة. وتحدث المصادقة من جديد عند B. وإذا كان التصميم يعتمد على بيانات اعتماد الآلة، فقد تكون إعادة الاتصال غير مراقبة؛ وإذا تطلب عامل بشري، فعلى شخص ما أن يكون حاضراً لإكمال التحويل الاحتياطي.

حدّد تجربة المستخدم تلك قبل الانقطاع لا خلاله. قل بوضوح ما سيفعله العميل، وكم سيحاول، وما سيعرضه عندما يستسلم، لأن الفرق بين دقيقة من إعادة الاتصال ونداء دعم غالباً ما يكون توثيقاً وملفاً تعريفياً مختبَراً.

الحفاظ على العنوان الداخلي نفسه يساعد التطبيقات التي تتوقع هوية محلية مستقرة، لكنه لا يحافظ على جلساتها. تنتهي ارتباطات NAT، وتُعاد تعيين اتصالات TCP، وأي شيء له مهلة خاصة به يقرر باستقلال ما إذا كان سيعيد المحاولة.

نفقان بالتوازي تصميم مختلف

تشغيل النفقين معاً نمط صالح عندما تدعمه البوابتان وتصميم التوجيه. حينها يختار اختيار المسار المسار النشط، ويجب أن يوافق مسار العودة، وإلا غادرت الحركة عبر بوابة وعادت عبر الأخرى دون حالة تطابقها.

سياسات الأنفاق المتداخلة لا تنشئ تحويلاً احتياطياً منظماً بذاتها. إنها تنشئ مرشحين اثنين، ويجب أن يقرر شيء ما بينهما بصورة حتمية، سواء أكان مقياس توجيه أو أولوية سياسة أو تفضيلاً صريحاً في العميل.

أياً كان الشكل الذي تختاره، اكتب العقد: كيف يُكتشف الفشل، وكيف يُختار البديل، وما المصادقة التي يتطلبها البديل، وكم يُتوقع أن تستغرق إعادة الاتصال. قد يبسّط IP المشترك الاكتشاف، لكنه ليس مرادفاً للحالة المستمرة، والتوافر تصميم في كل الأحوال.