VPN çoxsaylı yollar üzrə: operatorun təqdim etməli olduğu dörd zəmanət

İkinci WAN bağlantısı əlavə edin, tunellər qalxır, lakin bir yol yırğalandıqda fayl kopyalama hələ də dayanır. Bağlantılar sağlamdır və VPN prosesləri işləyir; çatışmayan operatorla tunel arasındakı müqavilədir. Bir neçə soket avtomatik olaraq bir bağlantı kimi davranmır və onların üstündəki tətbiq çatdırılma pozulana qədər fərqi görə bilmir. Müqavilənin hər hissəsi yoxlaya biləcəyiniz bir nasazlığa uyğun gəlir və bu onu faydalı edir.

Məhsul seçməzdən əvvəl bu müqaviləni yazın. Onun dörd hissəsi var: VPN-in aldığı axın, operatorun itkin məlumatları necə bərpa etməsi, hansı son nöqtə kimliyinin yol dəyişikliyindən sağ çıxması və yol sıradan çıxanda bütünün necə davranması.

Simptom: bağlantılar açıqdır, sessiya yenə qırılır

Hər iki bağlantının açıq olduğunu göstərən monitorinq qrafiki yalnız hər yolun trafik daşıya bildiyini sübut edir. O, VPN-in bir nizamlı axın gördüyünü, bir yolda itirilmiş paketin digərində bərpa olunduğunu və ya tərəfdaşın hansı sessiya ilə danışdığını hələ bildiyini sübut etmir. Müqavilənin qalan hissəsi qrafikin göstərə bilmədiyini əhatə edir.

Köçürmə dayandıqda, operatorun sağ qalan yolda çatdırmağa davam edib-etmədiyini araşdırın. İkinci bağlantı boşdaykən sessiya ölürsə, operator ondan heç vaxt istifadə etməyib. Sessiya sağ qalır, lakin məlumatlar nizamsız və ya təkrar gəlirsə, operator bağlantı səviyyəsində müqaviləsiz paketləri hərəkət etdirir. Hər iki tərəfdəki vaxt damğaları bunu adətən aydınlaşdırır.

Bu fərq düzəlişi müəyyən edir. Marşrutlaşdırma və ya siyasət problemi yol seçiminin dəyişməsini tələb edir; çatışmayan nizamlama və bərpa qatı başqa nəqliyyat tələb edir, daha böyük bufer deyil.

Birinci zəmanət: bağlantı səviyyəsində bayt axını

Əgər VPN etibarlı nizamlı axın tələb edirsə, operator bayt diapazonlarını ayrı yolun üstündə müəyyən etməlidir. Hər əsas TCP bağlantısı yalnız öz seqmentlərini nömrələyir, ona görə də qəbul edən yalnız bu nömrələrlə yollar arasında yenidən sıralaya bilməz.

Multipath TCP standartlaşdırılmış nümunədir. Bir etibarlı bayt axını təqdim edərkən bir neçə TCP alt axınını koordinasiya edir, məlumat səviyyəsində ardıcıllıq xəritələnməsi və təsdiqləmə ilə. Tətbiq axını oxuyur, parçanı ilk çatdıran alt axını deyil.

Linux-da MPTCP hər soket üçün IPPROTO_MPTCP vasitəsilə opt-in-dir. Razılaşma çoxyollu davranışdan istifadə edə bilmədikdə, sənədləşdirilmiş ehtiyat variant adi TCP-dir, yəni tətbiq ikinci yoldan heç vaxt istifadə etmədən bir yolla davam edə bilər. Nüvə parametrinin tətbiq olunduğunu fərz etmək əvəzinə yerləşdirilmiş soketin həqiqətən hansı davranışı razılaşdırdığını yoxlayın.

İkinci zəmanət: nizamlama, təkrarlama və bərpa

Fərqli gecikmə və itki səviyyələri olan yollar operatoru buferləməyə, yenidən sıralamağa və təkrar göndərməyə məcbur edir. Müqavilə icazə verilən buferləməni, tətbiqin gördüyü əks təzyiqi və təkrar göndərməni hansı yolun daşıdığını göstərməlidir.

Bağlı qalıb çatdırmanı dayandıran yol təmiz bağlanmadan daha çətindir. Operator onu aşkar etməli, gözləyən məlumatları köçürməli və heç vaxt gəlməyəcək seqmenti əbədi gözləməkdən çəkinməlidir. Hər iki bağlantının açıq olmasının sadə yoxlanması bu vəziyyəti əhatə etmir.

Təkrarlama öz qaydasını tələb edir. Eyni yükü hər iki yolda göndərmək gecikməni yaxşılaşdıra bilər, lakin qəbul edən surəti VPN-ə çatmadan əvvəl basdırmalıdır. IPsec anti-replay hər təhlükəsizlik assosiasiyası üçün isteğe bağlıdır və ardıcıllıq nömrələrini yoxlayır; paketləri yenidən sıralayan və ya təkrar oynadan təkrarlama qatı onu işə sala bilər və ya tunel düşənə qədər problemi gizlədə bilər.

Üçüncü zəmanət: son nöqtə kimliyi və yolun qoşulması

Tərəfdaşa yeni yol görünəndə sessiyanı tanımaq üçün sabit üsul lazımdır. Hər yol ayrı tunel kimi autentifikasiya olunarsa, VPN iki sessiya görə bilər. Operator yolları bir sessiya altında birləşdirirsə, yeni yolun necə autentifikasiya olunduğunu və köhnəsi ilə nə olacağını müəyyən etməlidir.

Hansı ünvanların və identifikatorların sabit qaldığını qeyd edin: tunelin son nöqtəsi, operatorun sessiya identifikatoru və aralarındakı hər hansı proksi. Proksi qorunan yükü heç vaxt görməsə də, daha bir əlçatanlıq və etimad sərhədi əlavə edir.

Siyasət də burada yaşayır. Gözlənilməz şəbəkədən qoşulan yol texniki cəhətdən etibarlı ola bilər və yenə də nəzərdə tutulan etimad modelini poza bilər. Yeni yolların avtomatik qəbul edilib-edilmədiyini, autentifikasiya tələb edib-etmədiyini və ya rədd edildiyini qərar verin.

Dördüncü zəmanət: nasazlıq altında məhdud davranış

Tam yol nasazlığını yoxlayın, yalnız yavaş yolu deyil. Sağ qalan yol sessiyanı qeyri-məhdud yaddaş artımı olmadan daşımalı və bərpa tətbiqin dözə biləcəyindən uzun taymerdən asılı olmamalıdır. Nasaz yol qayıtdıqda operator yenidən balanslaşdırmağı və ya axını olduğu yerdə saxlamağı qərarlaşdırmalıdır.

Buferləmə, təkrar göndərmə və yol sayı üçün məhdudiyyətlər qoyun, sonra onları itki, yenidən sıralama, təkrarlama və gecikmə qeyri-bərabərliyi altında yoxlayın. Ümumi buraxılış qabiliyyəti burada ən az maraqlı rəqəmdir; çatdırılma davamlılığı və yaddaş məhdudiyyətləri müqavilədir.

Operatorun bərpa vəziyyətini VPN-in kriptoqrafik vəziyyətindən ayrı saxlayın. Mövcud autentifikasiyanı və ya şifrələməni əvəz edən xüsusi etibarlılıq qatı qısa yol deyil və ardıcıllıq nömrələrinin qatlar arasında təkrar istifadəsi replay müdafiəsini və diaqnostikanı etibarsız edir.

Operatoru sınaq planı ilə qəbul edin

Dörd zəmanəti keçdi və ya keçmədi yoxlamaları kimi yazın: bir nizamlı axın, müəyyən edilmiş bərpa, sabit sessiya kimliyi, məhdud nasazlıq davranışı. Hər yoxlamanı bir yol pisləşdirilmiş, sonra bir yol çıxarılmış vəziyyətdə icra edin.

Yol dəyişikliyi ilə bir uğurlu fayl köçürməsi davamlı işləməni sübut etmir. Üstün tutulan yolu dəyişərək köçürməni təkrarlayın və həm operatorun görünüşünü, həm də VPN-in öz sayğaclarını yoxlayın. İkisi məlumatı hansı yolun daşıdığı barədə razılaşmırsa, müqavilə hələ müşahidə olunan deyil.

Təsdiqlənmiş matrisi yerləşdirmə ilə birlikdə saxlayın. O, növbəti mühəndisə hansı davranışın vəd edildiyini, hansı yol kombinasiyalarının sınaqdan keçirildiyini və hansı nasazlıq rejiminin hələ dəstəklənmədiyini bağlantı status işıqlarından yeni təxmin turu olmadan deyir.