مدخل VPN ثانٍ عبر WAN يفشل بينما يظل الأساسي يعمل

يبقى النفق الأساسي قائمًا، ويواصل المستخدمون عملهم، بينما تظل دائرة مزود الخدمة الثانية عاطلة مهما غيّرت. لقد نشرت عنوانًا لدائرة الاحتياط، وأشرت إليه باسم، وربما أضفت مدخل احتياط إلى العميل، ثم إما أن العميل لا يحاوله أبدًا أو ينجح في المصادقة ثم يتوقف. في الحالات التي تتبعتُها، كانت ميزة تجاوز الفشل سليمة عادةً؛ وما كان ناقصًا هو واحد من الأمور الخمسة التي تجعل المدخل صالحًا للاستخدام. قد يُحلّ الاسم إلى عنوان الاحتياط بينما لا يستمع أي شيء على تلك الواجهة، وقد يقبل المستمع اتصالًا بينما يخرج الرد عبر الأساسي. تعامل مع كل WAN كمدخل منفصل بعقده الخاص، فتتوقف المشكلة عن الظهور كخطأ في العميل.

يحتاج كل WAN إلى عقد مدخله الخاص

سجّل خمسة حقول لكل WAN: الاسم والعنوان العامان، ووسيلة النقل والمنفذ، والواجهة أو السياق الذي ينهيه، وهوية الطرف النظير التي ينبغي أن يقدمها، ومكان خروج الرد. دائرتان تعنيان مجموعتين كاملتين. إذا لم تكن للمجموعة الثانية واجهة منهية أو مسار عودة، فليس لديك مدخل احتياط؛ بل لديك سجل DNS يصف نية.

يجب أن يدعم الجهاز وإصداره هذا الترتيب أيضًا. لا يستطيع سجل DNS فتح خدمة على واجهة أخرى، وفي كثير من المنصات يُضبط المستمع لكل عنوان بدلًا من كل جهاز. يربط IPsec القائم على الواجهة على أجهزة ASA خرائط التشفير ومجموعات النفق بالواجهة الخارجية، لذا يحتاج الرابط الصاعد الثاني إلى سياسة تُربط حيث تصل تلك الحزم فعليًا. تتصرف التصاميم القائمة على التوجيه بشكل مختلف: قد يرتبط المستمع بكل عنوان أو بعنوان واحد مسمّى، وهذا الاختيار يحدد ما إذا كان بإمكان مزود الخدمة B الرد أصلًا.

تحقق من أن WAN الثاني يجيب فعلًا

اختبر من خارج الدائرتين، لا من جهاز خلف البوابة، واختبر الاسم الدقيق الذي يستخدمه ملف تعريف العميل. بالنسبة لمستمع TLS، الفحص السريع هو openssl s_client -connect ADDRESS:443 -servername vpn.example.com -showcerts الذي تشغّله من مضيف خارج شبكتك. أنت تريد مصافحة مكتملة تطابق سلسلتها الاسم الموجود في ملف التعريف، لا مجرد منفذ TCP يقبل اتصالًا.

RFC 9525 يشرح ما يتحقق منه العميل: الهوية التي كان ينوي الوصول إليها، مقارنةً بالشهادة التي تقدمها الخدمة. المدخل الثاني الذي يعيد شهادة المدخل الأساسي، أو شهادة افتراضية لا تدرج أيًا من الاسمين، يفشل في هذا الاختبار رغم أن المنفذ مفتوح والجدار الناري يسمح به.

يفسّر نمطان معظم حالات الفشل هنا. الاتصال الذي يتعلّق يعني عادةً عدم وجود مستمع على تلك الواجهة، أو قاعدة وصول تسمح فقط بشبكات الأساس الفرعية، أو جهاز مشغل أمام الدائرة الثانية يُسقط المنفذ. والمصافحة التي تنتهي بهوية خاطئة تعني عادةً نقطة ثقة مختلفة، أو مضيفًا افتراضيًا، أو إعدادًا منسوخًا من الأساسي دون تعديل الهوية.

تابع الرد، لا الطلب فقط

تنكسر الدائرة الثانية عادةً في طريق العودة. تصل الطلبية عبر مزود الخدمة B، ويجيب الجهاز، ويخرج الرد عبر المسار الافتراضي على مزود الخدمة A بعنوان مصدر لم يطلبه العميل قط. والترجمة ذات الحالة تزيد الأمر سوءًا: إذا بُنيت الخريطة للواجهة الأساسية، فإن الحزمة العائدة تفوتها الترجمة أو تحمل مصدرًا يتجاهله جدار ناري العميل. كما تُسقط مزودات الخدمة عناوين المصدر التي لا تنتمي إلى الدائرة التي منحوها لك، ولهذا يبدو الأمر كثقب أسود أحادي الاتجاه بدلًا من خطأ بروتوكول واضح.

تحقق من قرار التوجيه للحركة الصادرة من المدخل الثاني. ينبغي أن يخرج الرد من الواجهة التي وصلت إليها الطلبية، أو على الأقل أن يحمل عنوانًا يقبله الطرف البعيد على أنه ينتمي إلى ذلك المسار. على منصات التوجيه بالسياسة يعني ذلك قاعدة مرتبطة بالواجهة الواردة أو بالمصدر المترجم، مع عبارة ترجمة مرتبطة بكل واجهة خارجية. التقط على الواجهتين معًا أثناء اتصال العميل؛ وصول SYN على مزود الخدمة B وخروج SYN-ACK على مزود الخدمة A يحسم السؤال في تشغيل واحد.

امنح العميل طريقة لمعرفة المدخل الثاني

تجاوز الفشل قرار من جانب العميل، وكل عائلة عملاء تتعلم البدائل بطريقتها. على أجهزة ASA تُسلَّم قائمة الخوادم الاحتياطية عبر سمات webvpn في سياسة المجموعة، بينما تتوقع عملاء أخرى قائمة داخل ملف التعريف أو ملفًا ثانيًا يدويًا يختاره المستخدم. يصف دليل سياسات الاتصال من Cisco المعلومات الاحتياطية المضبوطة في العميل والمقدمة من البوابة معًا، ولا ينبغي تعميم تلك التفاصيل الخاصة بالبروتوكول على كل عميل أو نمط نفق. تأكد من الآلية التي يطبقها العميل المنشور قبل أن تبني المدخل الثاني حول آلية خاطئة.

أيًا كانت الآلية، يجب أن يستطيع العميل حل الاسم البديل قبل أن يفقد المسار الأساسي. هذا الاعتماد هو ما يغفله الناس: إذا أجاب عن اسم الاحتياط مُحلِّل لا يمكن الوصول إليه إلا عبر النفق الذي فشل للتو، فلا يمكن للاحتياط أن يبدأ أصلًا. انشر الاسم الثاني في مُحلِّل يجيب محليًا أو عبر الإنترنت. توقع مصادقة جديدة وجلسة تطبيق جديدة بعد الانتقال، لأن تجاوز فشل العميل ليس تجاوز فشل ذا حالة، والجلسات الطويلة لا تنجو منه.

عنوان واحد على مزودين مختلفين منتج آخر

إبقاء عنوان عام واحد قابل للوصول عبر الدائرتين خدمة توجيه، وليس مربع اختيار في الـ VPN. يحتاج إلى فضاء عناوين يقبل المزودان حمله، ويُعلن بطريقة تقبلها شبكاتهما، وهذا ما يوفره التعدد المنزلي بفضاء مستقل عن المزود وبروتوكول BGP. تعيين عنوان مزود الخدمة A على واجهة مزود الخدمة B لا يوصلك إلى ذلك؛ تصل الحزمة إلى شبكة لم تعلن البادئة قط فتُسقط في المنبع.

لا تحتاج إلى أي من ذلك لنشر مدخلين. إذا كان العميل يستطيع حمل اسمين والتجاوز بينهما، فمدخلان مستقلان يكفيان، وتتجنب رقم AS وترتيبًا للنظراء وبادئة يجب قبولها في كل مكان. لا تفكر في خيار العنوان المحمول إلا عندما تحتاج فعلًا إلى نقطة دخول واحدة مستقرة لا يمكن إعادة تهيئة العملاء لاستبدالها، أو عندما يكون تجاوز الفشل القائم على DNS بتأخير TTL الخاص به أبطأ من الانقطاع الذي تصمم ضده.

ما يجب فحصه بعد ذلك

اعمل من المدخل الفاشل إلى الخارج بهذا الترتيب: هل يجيب العنوان الثاني من الخارج، وهل يقدم الهوية التي يتوقعها العميل، وهل يخرج الرد كما وصلت الطلبية، وهل يستطيع العميل معرفة الاسم قبل أن يحتاجه. حيث تكون الإجابة لا، أصلح تلك الطبقة وأعد الاختبار بملف التعريف المنشور لا بمضيف اختبار، لأن مصافحة من المختبر تثبت أقل من اتصال مكتمل من العميل الحقيقي.

احتفظ بسجل قصير لكل WAN يتضمن العنوان والمنفذ والواجهة المنهية واسم الشهادة ومسار العودة وقاعدة الترجمة، وأعد فحصه كلما تغيرت دائرة أو جهاز NAT أو إصدار عميل. مسارات الاحتياط الخاملة تتلف بصمت: لا شيء ينبه إلى المدخل الذي لا يستخدمه أحد حتى اليوم الذي يعتمد فيه الجميع عليه.