pfSense-এ OpenVPN ফেলওভারের তিন ধরন, তিন কৌশল

pfSense-এ „OpenVPN failover“ অন্তত তিনটি অসংযুক্ত নকশাকে ধারণ করে এবং প্রতিটির জন্য আলাদা কৌশল দরকার। ব্যাকআপ ইন্টারনেট লিঙ্কে টানেল জীবিত রাখা, অন্য সার্ভারে আবার সংযুক্ত হওয়া এবং LAN ট্রাফিককে আরেকটি প্রতিষ্ঠিত টানেলে ঘুরিয়ে দেওয়া একই বৈশিষ্ট্যের রূপ নয়। গেটওয়ে গ্রুপ তৈরির আগে কোন ত্রুটির বিরুদ্ধে আপনি রক্ষা করছেন তা বেছে নিন। যে গ্রুপ তাদের একটি সারায়, সেটি বাকি দুটির জন্য কিছুই করে না।

গ্রুপ তৈরির আগে ত্রুটির নাম দিন

যে বাক্যটি আপনি বিরতির সময় সত্য দেখতে চান তা লিখুন। „টানেল ব্যাকআপ WAN দিয়ে আবার সংযুক্ত হয়“ এবং „শাখা এখনো অন্য টানেল দিয়ে অ্যাপ্লিকেশন পর্যন্ত পৌঁছায়“ আলাদা বাক্য। কেবল প্রথমটি পরিবহন নিয়ে।

তারপর এটি একটি কৌশলের সঙ্গে মিলিয়ে দিন। স্থানীয় WAN হারানো ইন্টারফেস-নির্বাচনের সমস্যা, মৃত দূরবর্তী প্রান্ত সংযোগ-তালিকার সমস্যা, এবং প্রতিষ্ঠিত টানেলের ভিতরে অচল পথ রাউটিং ও নীতির সমস্যা।

স্থানীয় WAN: পরিবহন সরান

pfSense-এর OpenVPN ক্লায়েন্টের জন্য সমর্থিত বহু-WAN বিন্যাস উপযুক্ত গেটওয়ে গ্রুপকে সেই ইন্টারফেস হিসেবে বেছে নেয় যার সঙ্গে ক্লায়েন্ট বাঁধা পড়ে। এটিই বাইরের সংযোগকে প্রাথমিক ব্যর্থ হলে ব্যাকআপ লিঙ্ক দিয়ে বেরোতে দেয়। নিজে থেকে এটি ভিতরের ট্রাফিক কীভাবে রাউট হয় তা বদলায় না।

একই নকশার সার্ভার দিক আলাদা। যে OpenVPN সার্ভারকে একাধিক পাবলিক ঠিকানা দিয়ে পৌঁছানো যায় হওয়া উচিত, তার ওই প্রতিটি এন্ট্রির জন্য একটি শ্রবণকারী ও আগত নীতি দরকার, কেবল এমন ক্লায়েন্ট নয় যে দুটি লিঙ্কে ডায়াল করতে পারে। একটি চালু পাবলিক এন্ট্রি দ্বিতীয়টি কনফিগার করা আছে তার প্রমাণ নয়।

ফরোয়ার্ড করা LAN প্যাকেটের জন্য নীতি-ভিত্তিক রাউটিং নিয়ম সেই সেটিং নয় যা স্থানীয়ভাবে তৈরি VPN পরিবহন সংযোগ সরায়। এগুলি দুটি আলাদা অনুসন্ধান, এবং একটি বদলালে অন্যটি বদলায় না।

দূরবর্তী প্রান্ত: অন্য সার্ভার

বিকল্প remote সংযোগ-তালিকার বৈশিষ্ট্য। বর্তমান এন্ট্রি সাড়া না দিলে ক্লায়েন্ট পরেরটি চেষ্টা করে, যা তখন কাজে লাগে যখন নির্দিষ্ট কোনো হোস্ট ডাউন, আর তখন নয় যখন আপনার নিজের আপলিঙ্ক ডাউন। দুটি ত্রুটি ব্যবহারকারীর ডেস্ক থেকে একই রকম দেখায় এবং আলাদা সংশোধন দরকার।

প্রতিটি প্রার্থীকে প্রকৃত বিকল্প হতে হবে: সামঞ্জস্যপূর্ণ প্রমাণীকরণ, সামঞ্জস্যপূর্ণ ক্লায়েন্ট নীতি এবং একই ব্যক্তিগত সম্পদে প্রবেশাধিকার। যে দ্বিতীয় হোস্টনাম একই নষ্ট অবকাঠামোতে সমাধান হয় তা ব্যাকআপ নয়। যে সার্ভারের প্রয়োজনীয় রুট নেই সেটিও নয়, তার হ্যান্ডশেক যতই সুস্থ দেখাক।

এই কৌশল দুটি টানেলকে একসঙ্গে ফরোয়ার্ডও করায় না। এটি একটি সংযোগের পরে অন্যটি ক্রমান্বয়ে বসায়, এবং তাদের মধ্যবর্তী ফাঁক যেসব কিছু চলছিল তার কাছে দৃশ্যমান।

টানেলের পথ: আরেকটি নির্গমন বেছে নিন

যখন দুটি টানেল ইতিমধ্যেই দাঁড়িয়ে আছে এবং ট্রাফিককে বেশি সুস্থটি ব্যবহার করতে হবে, কৌশল হল নিজস্ব গেটওয়েসহ বরাদ্দকৃত VPN ইন্টারফেস, সঙ্গে একটি স্পষ্ট নীতি নিয়ম যা সঠিক ট্রাফিক সেখানে পাঠায়। সেই বরাদ্দকৃত ইন্টারফেসের উপরে গেটওয়ে গ্রুপ অগ্রাধিকার ও পর্যবেক্ষণ প্রকাশ করতে পারে।

এই নকশা নির্বাচন নিয়ে, পুনরুদ্ধার নিয়ে নয়। নতুন সংযোগ দ্বিতীয় টানেলে সরানো প্রথমটিতে ইতিমধ্যে প্রতিষ্ঠিত সেশনের বিষয়ে কিছু বলে না এবং দূরের পক্ষ নতুন উৎস ঠিকানা গ্রহণ করবে কি না তাও বলে না। এটিকে পুনরুদ্ধার কৌশল হিসেবে দেখা মানে প্রত্যাশা খুব উঁচুতে রাখা।

যদি প্রয়োজন হয় বিদ্যমান সেশন টিকে থাকা, তবে তা স্পষ্ট বলুন। বেশিরভাগ বাস্তবায়ন জীবিত প্রবাহ টানেলের মধ্যে স্থানান্তর করে না, এবং তারা করে ধরে নিয়ে নকশা করা এমন ফেলওভার দেয় যা রেখাচিত্রে সঠিক দেখায় আর বাস্তবে প্রতিটি খোলা সংযোগ ফেলে দেয়।

মনিটর, NAT ও fail-closed নিয়ম

মনিটরের এমন কিছু পরীক্ষা করা উচিত যা টানেলের সরবরাহ করার কথা। যে লক্ষ্য টানেলের সহকর্মী থেকে সাড়া দেয় কিন্তু তার পিছনের অ্যাপ্লিকেশন নেটওয়ার্ক থেকে দেয় না, তা ব্যবহারকারীরা কিছু না দেখলেও সুস্থ রিপোর্ট করে। যে নাগালহীন ডায়াগনস্টিক লক্ষ্য পথ ঠিক থাকলেও মৃত রিপোর্ট করে। ঠিকানাটি সচেতনভাবে বেছে নিন এবং নিশ্চিত করুন যে এটি কেবল অভীষ্ট টানেল দিয়েই নাগালযোগ্য।

দুই নির্গমনের জন্য বহির্গামী NAT পরীক্ষা করুন। প্রাথমিকে কাজ করা অনুবাদ ব্যাকআপের উৎস ঠিকানা বর্ণনা করে না, এবং দূরবর্তী ব্যক্তিগত নেটওয়ার্কের এমন ফিরতি পথ দরকার যা আপনি যে উৎস উপস্থাপন করছেন তার সঙ্গে মেলে। এক পথে সঠিক অনুবাদ অন্যটিতে নিঃশব্দে ভুল হতে পারে।

তারপর ঠিক করুন যে ট্রাফিকের কী হবে যা কখনো WAN ব্যবহার করতে পারবে না। pfSense-এ যে নিয়মের নির্বাচিত গেটওয়ে ডাউন তার জন্য সংজ্ঞায়িত আচরণ আছে, এবং পরে আসা প্রশস্ত অনুমতি নিয়ম বা ডিফল্ট রুট আপনার উদ্দেশ্য বাতিল করতে পারে। আটকে যাওয়া ফলাফল প্রয়োজন হিসেবে লিখুন, তারপর পথ বন্ধ করে তা যাচাই করুন।

ক্ষতি ও পুনরুদ্ধার আলাদাভাবে পরীক্ষা করুন, যে ট্রাফিক তৈরি করার অনুমতি আপনার আছে তা দিয়ে, এবং একসঙ্গে তিনটি জিনিস দেখুন: বাইরের সংযোগ বহনকারী WAN, অ্যাপ্লিকেশনের অনুরোধ বহনকারী টানেল এবং উত্তর যে পথ নেয়। সবুজ গেটওয়ে সূচকের এক জোড়া সেই তিনটির একটি নয়। Netgate-এর বহু-WAN নির্দেশিকা পরিবহন বন্ধন এবং রপ্তানি করা ক্লায়েন্ট বিকল্প বর্ণনা করে যার উপর এটি নির্ভর করে।