İki IPsec şlüzu, ümumi IP olmadan: ehtiyat keçid əslində nə edir

İclas zamanı A şlüzünü söndürün və tunelin bir dəqiqə sonra B üzərindən geri qayıtdığını görün; bağlantı işləyir, video zəng işləməyə bilər. Bu, müstəqil ünvanlı iki IPsec şlüzu arasında soyuq ehtiyat keçidin dürüst görünüşüdür. Müştəri son nöqtəni yenidən seçir və yeni əlaqə qurur; bu, köhnə sessiyanın kriptoqrafik vəziyyətini ötürmədən əlçatanlığı bərpa edir. Ardıcıllığı izləmək dizaynın hansı vədləri tuta biləcəyini aydın edir.

Səhnəni qur: iki ünvan, üzən IP yoxdur

A şlüzu bir əlçatan ünvanda, B şlüzu isə başqasında cavab verir. Müştərinin A yox olanda B-ni seçmək üçün təsdiqlənmiş yolu var və hər iki şlüzün iddia etdiyi ortaq xarici ünvan yoxdur. Bu dizaynda virtual IP dedikdə həmin ortaq giriş nöqtəsi nəzərdə tutulur, uzaqdan giriş müştərisinə verilən daxili ünvan deyil.

Bu tərif vacibdir, çünki iki fikir biletlərdə qarışır və birinin düzəlişi digərinin düzəlişi deyil. Ortaq giriş nöqtəsinin şlüzü izləmədiyini bildirən hesabat bir dizaynı təsvir edir. Noutbukun daxili ünvanını itirdiyini bildirən hesabat müştərinin icarəsini təsvir edir. Fərqli sahiblər, fərqli jurnallar, fərqli təmir yolları.

Nasazlığı izlə: aşkar et, sonra yenidən seç

Əvvəlcə nəsə A-nın cavab vermədiyini görür. Bu, tunel qatında ölü həmkar aşkarlanması, marşrut protokolunun yolu geri çəkməsi və ya nəhayət yenidən qoşulmağa məcbur edən tətbiq taymautu ola bilər. Hər birinin fərqli zaman miqyası var və istifadəçilərin nə qədər gözlədiyini adətən ən yavaş olan müəyyən edir.

Sonra müştəri yerləşdirmənin dəstəklədiyi mexanizmlə B-ni seçir: ikinci konfiqurasiya edilmiş uzaq nöqtə, sağlam ünvana həll olunan DNS adı və ya artıq fərqli yola üstünlük verən marşrutlaşdırma. Seçim siyasət addımıdır və nasazlıqdan əvvəl mövcud olmalıdır, yoxsa təsadüfən baş verəcək.

B nəyi miras ala bilər, nəyi yox

B A ilə konfiqurasiya şablonunu, sertifikat orqanını və autentifikasiya siyasətini paylaşa bilər. Canlı təhlükəsizlik assosiasiyalarını miras ala bilməz. Sessiya açarları, təhlükəsizlik parametrləri indeksləri və ardıcıllıq vəziyyəti A ilə müştərinin qurduğu əlaqəyə aiddir və B-də onlardan heç biri yoxdur.

Bu vəziyyəti şlüzlər arasında köçürmək əsl mühəndislik problemidir, buna görə də strongSwan-ın yüksək əlçatanlıq sənədləri bunu konfiqurasiya bayrağı deyil, klaster dizaynı kimi qiymətləndirir. Konkret klaster resepti bulud şəbəkəsi üçün ümumi cavab deyil və onu dəstəkləyici infrastruktur olmadan köçürmək davamlılıq əvəzinə mürəkkəblik alır.

Təzə əlaqə qurmaq

B seçildikdən sonra müştəri yeni IKE mübadiləsi həyata keçirir: yeni nonce dəyərləri, yeni Diffie-Hellman dəyərləri, yaranan assosiasiyalar üçün yeni identifikatorlar. Autentifikasiya yenidən B-də baş verir. Dizayn maşın etimadnamələrinə güvənirsə, yenidən qoşulma nəzarətsiz ola bilər; insan amili tələb edirsə, ehtiyat keçidin tamamlanması üçün kimsə iştirak etməlidir.

Bu istifadəçi təcrübəsini kəsintidən əvvəl müəyyənləşdirin, kəsinti zamanı yox. Müştərinin nə edəcəyini, nə qədər cəhd edəcəyini və əl çəkəndə nə göstərəcəyini aydın deyin, çünki bir dəqiqəlik yenidən qoşulma ilə dəstək zəngi arasındakı fərq adətən sənədləşmə və sınaqdan keçmiş profildir.

Eyni daxili ünvanı saxlamaq sabit yerli kimlik gözləyən tətbiqlərə kömək edir, lakin onların sessiyalarını qorumur. NAT bağlamaları bitir, TCP bağlantıları sıfırlanır və öz taymautu olan hər şey yenidən cəhd edib-etməyəcəyinə müstəqil qərar verir.

Paralel iki tunel fərqli dizayndır

Hər iki tuneli eyni vaxtda işlətmək, hər iki şlüz və marşrut dizaynı dəstəklədikdə etibarlı nümunədir. Onda marşrut seçimi aktiv yolu seçir və qayıdış yolu uyğun olmalıdır, yoxsa trafik bir şlüzdən çıxıb digərindən geri qayıdır və onu uyğunlaşdıracaq vəziyyət olmur.

Üst-üstə düşən tunel siyasətləri təkbaşına nizamlı ehtiyat keçid yaratmır. Onlar iki namizəd yaradır və aralarında nəyinsə deterministik qərar verməsi lazımdır: istər marşrut metriği, istər siyasət prioriteti, istərsə də müştəridə açıq üstünlük.

Hansı formanı seçsəniz də, müqaviləni yazın: nasazlıq necə aşkarlanır, alternativ necə seçilir, alternativ hansı autentifikasiyanı tələb edir və yenidən qoşulmanın nə qədər çəkməsi gözlənilir. Ortaq IP aşkarlamanı asanlaşdıra bilər, lakin davamlı vəziyyətin sinonimi deyil və əlçatanlıq hər halda bir dizayndır.