Другі канцавы пункт VPN: што ён пакрывае і што не

Два канцавыя пункты на паперы выглядаюць як рэзерваванне. На практыцы другі адрас дапамагае толькі тады, калі кліенты могуць да яго дабрацца і калі ён пазбягае той адмовы, да якой вы рыхтуецеся. Два серверы за адным падключэннем доступу, адным уліковым запісам або адной мэтавай сеткай адмаўляюць разам. Карыснае пытанне: якую адзіную адмову выдаляе другі канец.

Параўнайце, што агульнае ў абодвух канцоў

Пералічыце тое, што агульнае ў двух канцоў, перш чым лічыць тое, што яны дублююць. Месца размяшчэння, уліковы запіс правайдэра, транзіт уверх, размяшчэнне DNS, крыніца ідэнтычнасці і прыватны рэсурс за тунэлем — кожнае ўяўляе сабой альбо агульную, альбо незалежную залежнасць. Дзве віртуальныя машыны ў адным рэгіёне дзеляць адмову правайдэра. Два рэгіёны пад адным уліковым запісам усё яшчэ дзеляць білінгавыя адносіны і плоскасць кіравання, якая іх стварае.

Мэтавая сетка заслугоўвае такога ж падыходу. Спраўны рэзервовы шлюз не можа аднавіць NAS, які не ў сетцы, і не можа дабрацца да офіснай сеткі, у якой упаў канал уверх. Калі абодва канцы завяршаюцца ў адной прыватнай падсетцы, другі дадае шлях да мэты, якая ўжо з’яўляецца адзіным пунктам адмовы.

Ідэнтычнасць — гэта залежнасць, пра якую забываюць. Капіраванне сертыфіката і канфігурацыі на другі хост стварае два месцы, дзе адны і тыя ж уліковыя даныя можна скапіраваць, і нічога не кажа пра тое, як адкліканні даходзяць да абодвух.

Вырашыце, як кліент пераключаецца

Другі канец карысны толькі тады, калі кліент ведае пра яго і можа выбраць яго без званка ў падтрымку. Профілі падключэння OpenVPN могуць змяшчаць некалькі радкоў remote з палітыкай выбару, і большасць кліентаў паказвае альтэрнатыўны профіль у меню. Які б ні быў механізм, запішыце, які ёсць у вашых карыстальнікаў, бо профіль, які яны не могуць знайсці, — гэта не пераключэнне.

Прачытайце дакументацыю кліента пра змены адраса падчас сеансу. Некаторыя рэалізацыі трымаюць зыходны вузел на працягу ўсяго жыцця тунэля і звяртаюцца да альтэрнатыў толькі пры перападключэнні. Гэта адрозненне вырашае, ці мёртвы канец дасць кароткае перапыненне, ці сеанс, які ніколі не аднавіцца. Праверце шлях перападключэння замест таго, каб меркаваць, што ён адбудзецца.

Зменены адрас выхаду таксама ламае стан праграмы. Пераключэнне — гэта аднаўленне, і апісанне яго як бесперапыннай працы стварае чаканне, якое транспарт не можа задаволіць.

Праверце адну рэальную адмову

Выберыце адзін кантраляваны перапынак і прайдзіце яго ад пачатку да канца, замест таго каб давяраць праектнаму дакументу. Спыніце асноўны канец, затым пераканайцеся, што аўтарызаваны кліент дабіраецца да патрэбнай праграмы праз альтэрнатыву, а неаўтарызаваныя кліенты па-ранейшаму не могуць. Запішыце, колькі доўжылася пераключэнне і што ўбачыла праграма.

dig +short vpn2.example.net
ip route get 10.20.30.41
journalctl -u openvpn@backup --since '-10 min'

Першая каманда пацвярджае, што імя рэзерву развязавецца ў нешта маршрутызуемае, перш чым яно спатрэбіцца, і гэта самы танны тэст тут. Другая паказвае, які інтэрфейс ядро выкарыстоўвала б для прыватнай мэты, калі альтэрнатыва ўзнята. Трэцяя дае журнал кліента з імем вузла, да якога ён фактычна падключыўся, і гэта адзіны доказ таго, што пераключэнне адбылося. Сачыце таксама за паводзінамі блакавання ў час разрыву, бо палітыка, якая выпускае трафік падчас пераключэння, горш за кароткі перапынак.

Затым вярніце зыходны канец і пераканайцеся, ці вяртаецца кліент. Вяртанне, якое адбываецца выпадкова, — гэта паводзіны, якіх ніхто не планаваў.

Запішыце, што дае другі адрас

Падсумуйце пакрыццё ў адным абзацы: якую адмову выдаляе другі канец, якія адмовы ён дзеліць з першым і на якіх дапушчэннях трымаецца пераключэнне. Назавіце механізм на баку кліента, а таксама прыватныя маршруты і паводзіны DNS, якія павінны існаваць у абодвух месцах. Публічны выхад у інтэрнэт не заменіць прыватны шлюз, а дакументу, які ставіць іх на адзін узровень, павераць. Дадайце тэст аднаўлення, які вы правялі, з датай і вынікам.

Незалежнасць ад аднаго сервера — гэта не незалежнасць ад агульнага ўліковага запісу або мэтавай сеткі. Менавіта абзац, які кажа гэта ўголас, не дае прадаць другі адрас унутры як высокую даступнасць. Ён таксама кажа наступнаму аператару, што праверыць перш за ўсё, калі пара адмаўляе разам.