pfSense-də üç növ OpenVPN yük ötürməsi, üç mexanizm

pfSense-də „OpenVPN failover“ ən azı üç bir-biri ilə əlaqəsiz layihəni əhatə edir və onların hər biri fərqli mexanizm tələb edir. Tuneli ehtiyat internet xətti üzərindən canlı saxlamaq, başqa serverə yenidən qoşulmaq və LAN trafikini başqa qurulmuş tunelə yönəltmək bir funksiyanın variantları deyil. Şlüz qrupu qurmadan əvvəl hansı nasazlıqdan müdafiə olunduğunuzu seçin. Birini düzəldən qrup digər ikisi üçün heç nə etmir.

Qrup qurmadan əvvəl nasazlığı adlandırın

Kəsinti zamanı doğru olmasını istədiyiniz cümləni yazın. „Tunel ehtiyat WAN üzərindən yenidən qoşulur“ və „filial tətbiqə digər tunel üzərindən çatmağa davam edir“ fərqli cümlələrdir. Yalnız birincisi daşıma ilə bağlıdır.

Sonra onu bir mexanizmə uyğunlaşdırın. Yerli WAN itkisi interfeys seçimi problemidir, ölü uzaq son nöqtə bağlantı siyahısı problemidir, qurulmuş tunelin daxilindəki yararsız yol isə marşrutlaşdırma və siyasət problemidir.

Yerli WAN: daşımanı köçürün

pfSense OpenVPN müştərisi üçün dəstəklənən çox-WAN quruluşu müştərinin bağlandığı interfeys kimi uyğun şlüz qrupu seçir. İlkin xətt sıradan çıxanda xarici bağlantının ehtiyat xətti üzərindən çıxmasına imkan verən məhz budur. Tək başına daxili trafikin necə marşrutlaşdırıldığını dəyişmir.

Eyni layihənin server tərəfi ayrıdır. Bir neçə ictimai ünvandan əlçatan olmalı olan OpenVPN serveri həmin qeydlərin hər biri üçün dinləyici və giriş siyasəti tələb edir, sadəcə iki xətt üzərindən zəng edə bilən müştəri deyil. İşləyən bir ictimai qeyd ikincinin konfiqurasiya olunduğuna sübut deyil.

Yönləndirilən LAN paketləri üçün siyasət əsaslı marşrutlaşdırma qaydası yerli olaraq yaradılan VPN daşıma bağlantısını köçürən ayar deyil. Bunlar iki fərqli axtarışdır və birinin dəyişdirilməsi digərini dəyişmir.

Uzaq son nöqtə: başqa server

Alternativ remote bağlantı siyahısının funksiyasıdır. Müştəri cari qeyd cavab vermədikdə növbətini sınayır, bu da müəyyən bir host sıradan çıxanda faydalıdır, öz yuxarı xəttiniz çıxanda deyil. İki nasazlıq istifadəçinin masasından oxşar görünür və fərqli düzəlişlər tələb edir.

Hər namizəd əsl əvəzedici olmalıdır: uyğun autentifikasiya, uyğun müştəri siyasəti və eyni özəl resurslara çıxış. Eyni sıradan çıxmış infrastruktura çevrilən ikinci host adı ehtiyat deyil. Tələb olunan marşrutu olmayan server də deyil, əl sıxması nə qədər sağlam görünsə də.

Bu mexanizm də iki tunelin eyni vaxtda yönləndirməsinə səbəb olmur. Bir bağlantını digəri ilə ardıcıl əvəz edir və aralarındakı boşluq işləyən hər şey üçün görünür.

Tunel yolu: başqa çıxış seçin

İki tunel artıq qalxdıqda və trafik daha sağlamından istifadə etməlidirsə, mexanizm öz şlüzü olan təyin edilmiş VPN interfeysi və düzgün trafiki ora göndərən açıq siyasət qaydasıdır. Bu təyin edilmiş interfeyslər üzərində şlüz qrupu prioritet və monitorinq ifadə edə bilər.

Bu layihə seçim haqqındadır, bərpa haqqında deyil. Yeni bağlantıları ikinci tunelə köçürmək birincidə artıq qurulmuş sessiyalar haqqında heç nə demir və qarşı tərəfin yeni mənbə ünvanını qəbul edib-etməyəcəyi haqqında da heç nə demir. Ona bərpa mexanizmi kimi yanaşmaq gözləntiləri çox yüksəyə qoymağın yoludur.

Tələb mövcud sessiyaların sağ qalmasıdırsa, bunu açıq deyin. Əksər tətbiqetmələr canlı axını tunellər arasında köçürmür və köçürürmüş kimi layihələndirmə diaqramda doğru görünən, praktikada isə hər açıq bağlantını atan yük ötürməsi yaradır.

Monitorlar, NAT və fail-closed qaydası

Monitor tunelin çatdırmalı olduğu bir şeyi yoxlamalıdır. Tunel tərəfdaşından cavab verən, amma onun arxasındakı tətbiq şəbəkəsindən verməyən hədəf istifadəçilər heç nə görməyərkən sağlam hesabat verəcək. Əlçatmaz diaqnostik hədəf yol qaydasında ikən ölü hesabat verəcək. Ünvanı qəsdən seçin və ona yalnız nəzərdə tutulan tunel vasitəsilə çatıldığını təsdiqləyin.

Hər iki çıxış üçün gidən NAT-ı yoxlayın. İlkin xəttdə işləyən tərcümə ehtiyatın mənbə ünvanını təsvir etmir və uzaq özəl şəbəkə təqdim etdiyiniz mənbəyə uyğun dönüş marşrutu tələb edir. Bir yolda doğru olan tərcümə digərində səssizcə yanlış ola bilər.

Sonra WAN-dan heç vaxt istifadə etməməli olan trafikə nə olacağına qərar verin. pfSense-in seçilmiş şlüzü sıradan çıxmış qaydalar üçün müəyyən edilmiş davranışı var və sonrakı geniş icazə qaydası və ya standart marşrut niyyətinizi poza bilər. Bloklanmış nəticəni tələb kimi yazın, sonra yolu söndürməklə onu yoxlayın.

İtki və bərpanı ayrı-ayrılıqda, yaratmağa icazəniz olan trafiklə sınayın və eyni vaxtda üç şeyi izləyin: xarici bağlantını daşıyan WAN, tətbiq sorğusunu daşıyan tunel və cavabın tutduğu yol. Bir cüt yaşıl şlüz göstəricisi o üçlükdən biri deyil. Netgate-in çox-WAN bələdçisi bunun dayandığı daşıma bağlanmasını və ixrac edilən müştəri alternativlərini təsvir edir.