Два шлюзы IPsec без агульнага IP: што насамрэч робіць пераключэнне
Халоднае пераключэнне выбірае іншы шлюз, а не іншую копію старога тунеля. Прасачыце новы абмен IKE і што ён можа і не можа захаваць.
Адключыце шлюз A падчас сустрэчы і паглядзіце, як праз хвіліну тунель вернецца праз B; злучэнне працуе, а відэазванок можа і не. Гэта сумленная форма халоднага пераключэння паміж двума IPsec-шлюзамі з незалежнымі адрасамі. Кліент паўторна выбірае канчатковы пункт і будуе новае ўзаемадзеянне, што аднаўляе дасягальнасць без перадачы крыптаграфічнага стану старой сесіі. Калі прасачыць паслядоўнасць, становіцца відавочна, якія абяцанні дызайн можа стрымаць.
Паставім сцэну: два адрасы, без плаваючага IP
Шлюз A адказвае на адным дасягальным адрасе, а шлюз B — на іншым. Кліент мае ўзгоднены спосаб выбраць B, калі A знік, і няма супольнага знешняга адраса, на які прэтэндуюць абодва шлюзы. У гэтым дызайне віртуальны IP азначае менавіта гэтую супольную кропку ўваходу, а не ўнутраны адрас, прызначаны кліенту аддаленага доступу.
Гэтае вызначэнне важнае, бо два паняцці блытаюцца ў заяўках, і выпраўленне аднаго не выпраўляе іншае. Справаздача пра тое, што супольная кропка ўваходу не пайшла за шлюзам, апісвае адзін дызайн. Справаздача пра тое, што ноўтбук страціў унутраны адрас, апісвае арэнду кліента. Розныя ўладальнікі, розныя журналы, розныя рамонты.
Прасачыць збой: выявіць, потым пераабраць
Спачатку нешта заўважае, што A перастаў адказваць. Гэта можа быць выяўленне мёртвага партнёра на ўзроўні тунеля, пратакол маршрутызацыі, які адклікае шлях, або тайм-аўт праграмы, які урэшце прымушае перападключыцца. Кожны мае іншую шкалу часу, і самы павольны звычайна вызначае, колькі чакаюць карыстальнікі.
Затым кліент выбірае B праз любы механізм, які падтрымлівае разгортванне: другі наладжаны аддалены пункт, імя DNS, якое вырашаецца ў здаровы адрас, або маршрутызацыя, якая цяпер аддае перавагу іншаму шляху. Выбар — гэта палітычны крок, і ён мусіць існаваць да збою, інакш адбудзецца выпадкова.
Што B можа і не можа атрымаць у спадчыну
B можа падзяляць з A шаблон канфігурацыі, цэнтр сертыфікатаў і палітыку аўтэнтыфікацыі. Ён не можа атрымаць у спадчыну жывыя асацыяцыі бяспекі. Ключы сесіі, індэксы параметраў бяспекі і стан паслядоўнасці належаць узаемадзеянню, якое стварылі A і кліент, і ў B няма нічога з гэтага.
Перанос гэтага стану паміж шлюзамі — сапраўдная інжынерная праблема, таму дакументацыя strongSwan па высокай даступнасці разглядае яе як кластарны дызайн, а не як сцяг канфігурацыі. Пэўны кластарны рэцэпт не з’яўляецца агульным адказам для хмарнай сеткі, і капіраванне яго без падтрымліваючай інфраструктуры купляе складанасць замест бесперапыннасці.
Усталяванне свежага ўзаемадзеяння
Пасля выбару B кліент выконвае новы абмен IKE: новыя nonce, новыя значэнні Diffie-Hellman, новыя ідэнтыфікатары для атрыманых асацыяцый. Аўтэнтыфікацыя зноў адбываецца на B. Калі дызайн абапіраецца на машынныя ўліковыя даныя, перападключэнне можа быць без нагляду; калі патрабуецца чалавечы фактар, хтосьці мусіць прысутнічаць, каб пераключэнне завяршылася.
Вызначце гэты карыстальніцкі досвед да перапынку, а не падчас яго. Скажыце проста, што кліент будзе рабіць, колькі ён будзе спрабаваць і што пакажа, калі здасца, бо розніца паміж хвілінай перападключэння і званком у падтрымку звычайна — гэта дакументацыя і пратэставаны профіль.
Захаванне таго ж унутранага адраса дапамагае праграмам, якія чакаюць стабільнай лакальнай ідэнтычнасці, але не захоўвае іх сесіі. Прывязкі NAT сканчаюцца, злучэнні TCP скідваюцца, і ўсё, што мае ўласны тайм-аўт, самастойна вырашае, ці паўтараць спробу.
Два тунелі паралельна — гэта іншы дызайн
Запуск абодвух тунеляў адначасова — слушны шаблон, калі абодва шлюзы і дызайн маршрутызацыі гэта падтрымліваюць. Тады выбар маршруту вызначае актыўны шлях, і зваротны шлях мусіць адпавядаць, інакш трафік выходзіць праз адзін шлюз і вяртаецца праз іншы без стану, які б яго супаставіў.
Перакрыжаваныя палітыкі тунеляў самі па сабе не ствараюць упарадкаванага пераключэння. Яны ствараюць двух кандыдатаў, і нешта мусіць дэтэрмінавана вырашыць паміж імі: метрыка маршруту, прыярытэт палітыкі ці яўная перавага ў кліенце.
Якую б форму вы ні выбралі, запішыце дамову: як выяўляецца збой, як выбіраецца альтэрнатыва, якая аўтэнтыфікацыя ёй патрабуецца і колькі часу, як чакаецца, зойме перападключэнне. Супольны IP можа спрасціць выяўленне, але ён не сінонім бесперапыннага стану, і даступнасць у любым выпадку — гэта дызайн.