Дзве актыўныя тунелі IPsec усё яшчэ патрабуюць плана зваротнага шляху

Адкрыйце тэрмінал на працоўнай станцыі на адным сайце і падключыцеся да сервера на другім. Гэтая адзіная размова TCP цяпер павінна прайсці праз чатыры шлюзы замест двух, і цікавае тут не ў тым, ці працуе яна ў добры дзень. Цікавае ў тым, якую пару шлюзаў выбраў прамы кірунак, якую пару выбірае адказ і хто трымае стан патоку, пакуль гэта адбываецца. Нішто ў табліцы маршрутызацыі не вырашае гэта за вас.

Намалюйце чатыры шлюзы, перш чым маляваць маршрут

Двухактыўная схема з двума незалежнымі міжсетевымі экранамі VPN на кожным сайце, адна пара на правайдэра, дае два прыдатных шляхі і тры спосабы іх зламаць. Запішыце адрасы, перш чым нешта наладжваць: кліент так, як ён бачны да і пасля кожнага шлюза, сервер гэтак жа, наступны крок наперад і наступны крок назад.

Гэтая табліца і ёсць праект. Усё пасля яе — пытанне, ці згодны прылады з табліцай.

Як выбіраецца прамы шлях

Слой шматшляховай маршрутызацыі з роўнымі выдаткамі размеркае патоку па наступных кроках праз хэшаванне палёў загалоўка, што падрабязна апісвае RFC 2992. Гэты выбар можа быць цалкам безстанным: яму не патрэбен запіс адсочвання злучэння, толькі стабільны хэш па нязменных палях. Трымайце набор шляхоў і ўваходныя даныя хэша нязменнымі, і кожны пакет патоку выбірае той жа наступны крок.

Выбар на кожны паток пазбягае пераўпарадкавання, якое дало б балансаванне пакет за пакетам на каналах з рознымі затрымкамі. Ён не абяцае, што роўны кошт маршрутызацыі азначае роўную вымераную затрымку, бо гэта не так. А калі склад шляхоў змяняецца, патоку пераадрасуюцца, таму выжыванне злучэння падчас збою — асобнае патрабаванне ад выбару шляху.

Што насамрэч патрэбна зваротнаму шляху

Тут прагулка перастае быць сіметрычнай. Стабільны прамы хэш нічога не кажа пра тое, што далёкі сайт зробіць з адказам. Калі незалежны міжсеткавы экран мусіць бачыць абодва кірункі злучэння, каб трымаць карысны стан, зваротны маршрут, які яго абыходзіць, пакідае трафік, што не адпавядае нічому. Дзве скрынкі з падобнымі наборамі правілаў — гэта не агульны стан.

Пацвердзіце рэалізаваныя двухбаковыя паводзіны або напішыце ясную палітыку, што трымае патрэбныя межы ўзгодненымі. Здагадка тут выяўляецца падчас збою, людзьмі, якім гэта не падабаецца.

Дзе трансляцыя вырашае за вас

NAT — гэта іншы рычаг, і ён неабавязковы, а не абавязковы. Перакладзеныя ідэнтычнасці для кожнага шляху могуць накіроўваць адказы назад да шлюза, які трымае стан, і гэта законная схема. Яны таксама дадаюць пераўтварэнні, зваротныя маршруты і ўладальніка гэтага стану, таму бярыце цяжар толькі дзеля патрабавання, якое можаце назваць уголас.

Калі патрабаванне проста ў тым, каб абодва шляхі неслі трафік і любы з іх перажыў страту правайдэра, звычайная шматшляховасць на паток з узгоджанай зваротнай маршрутызацыяй звычайна меншая схема.

Прайдзіце прыёмку па чарзе

Тэстуйце ў гэтай паслядоўнасці і запісвайце адрасы на кожным кроку: новае злучэнне на шляху A і яго зваротны шлях, тое ж на шляху B, затым страта аднаго правайдэра, затым аднаўленне. Для кожнага выніку адзначце, якія ўсталяваныя патоку перамясціліся, якім давялося перападключыцца і куды пайшлі новыя патоку пасля. Спачатку запішыце чаканае значэнне, затым параўнайце яго з захопам. Дзве ўсталяваныя тунелі не даказваюць нічога з гэтага.

Праект завершаны, калі напісаная вамі табліца супадае з тым, што паказвае захоп, а не калі абедзве тунелі ўзнятыя.