Com crear una política de commutació per error de la VPN a l'encaminador sense fuites

La commutació per error va funcionar exactament com s'havia configurat, i aquest era el problema. Quan va caure el túnel principal, l'encaminador va moure la ruta per defecte cap al mòdem per cable, els portàtils van continuar navegant i ningú no va trucar. Dos dies després algú va notar que la carpeta compartida de finances havia estat accessible per la via oberta d'internet durant sis hores. Una política de commutació per error de la VPN a l'encaminador no és un truc d'encaminament; és una decisió sobre què ha de fer el trànsit quan el camí preferit ja no hi és, i aquesta decisió ha d'existir abans que el camí desaparegui.

Decidiu el resultat abans de triar el detector

Normalment hi ha tres resultats sobre la taula: enviar els clients afectats per un túnel de reserva, deixar-los usar la WAN normal o bloquejar-los del tot. Anoteu quin s'aplica a cada VLAN, SSID o classe de dispositiu. Una única regla plana de “comuta a la WAN” és com la carpeta de finances de dalt va acabar en un camí públic.

Aquests tres no són intercanviables. La reserva per WAN manté el servei de suport atenent telèfons mentre exposa els noms interns al resolutor local. Un túnel de reserva conserva la política, però pot aterrar en una adreça de sortida que l'altre costat no accepta. El bloqueig és correcte per a una VLAN de nòmines i incorrecte per a una xarxa de convidats que mai no va usar el túnel.

Ajusteu el detector a la fallada que realment temeu

L'estat de l'apretada de mans, l'estat de la interfície i el reenviament utilitzable són tres senyals diferents, i a l'usuari només li importa l'últim. Un parell de WireGuard pot mostrar una apretada de mans recent mentre l'upstream del proveïdor està llançant paquets a un forat negre. OpenVPN el client pot quedar-se a “connectat” després que la ruta que va empènyer deixi de resoldre's.

A pfSense la disposició pràctica és un grup de passarel·les alimentat per dpinger, que sondeja una adreça de monitoratge i marca una passarel·la com a caiguda quan la pèrdua o la latència superen els seus llindars. Apunteu aquest monitoratge a una cosa més enllà del túnel, com un amfitrió a la LAN remota o una adreça pública a la qual arribeu a través d'ell. Apuntar-lo a l'adreça de parell del propi túnel mesura la part que ja sabeu que és viva.

Construïu el grup perquè la reserva segueixi sent l'últim recurs

Useu nivells en lloc d'una llista plana de membres. Primari al nivell 1, túnel de reserva al nivell 2, WAN al nivell 3 només per a les VLAN la política de les quals ho permeti. A pfSense això es troba a System > Routing > Gateway Groups: afegiu les dues passarel·les, doneu-los nivells diferents, poseu Trigger Level a member down plus packet loss, deseu i després apliqueu el grup com a valor per defecte de la interfície o al camp Gateway de les regles de tallafoc que el necessitin.

Per a una instància de client OpenVPN a pfSense 2.5 i posteriors, el paràmetre Default Gateway de la instància decideix si el túnel substitueix o no la ruta per defecte del sistema. L'encaminament de polítiques per regla només es comporta com espereu quan la ruta que suposeu existeix està realment instal·lada. Comproveu Status > Gateways després del canvi en lloc de confiar en la icona d'estat del túnel.

Dos paràmetres causen la major part del parpelleig. Un és un interval de sonda més curt que la reconvergència del propi proveïdor. L'altre és un grup on el primari i la reserva comparteixen nivell, de manera que tots dos segueixen elegibles en tot moment. Afegiu histèresi amb llindars de pèrdua i latència abans que els usuaris sentin les transicions per vosaltres.

Tanqueu els camins que el túnel mai no va posseir

Primer les fuites de DNS. El resolutor continua responent a la WAN i reenviant per ella, així que els noms es continuen resolent a través de l'ISP mentre el trànsit està fixat al túnel. Restringiu les interfícies de sortida del resolutor, empenyeu el resolutor intern als clients i bloquegeu el port 53 per a tota la resta a les VLAN només-VPN.

IPv6 necessita la seva pròpia decisió. Una LAN de doble pila pot perdre el túnel i conservar una ruta per defecte global IPv6 que funciona, així que els navegadors prefereixen IPv6 i surten per la WAN mentre IPv4 sembla perfectament contingut. O encamineu IPv6 dins del túnel o deixeu d'anunciar un prefix global mentre el túnel està caigut. Mitja política és pitjor que cap, perquè sembla que funciona.

Després, el camí de retorn. Si la sortida de reserva fa servir una adreça d'origen diferent, l'altre costat ha de saber com enviar-hi el trànsit de tornada, i tot estat lligat a l'adreça antiga ja és mort. Les sessions obertes quan va caure el primari no migren; s'aturen fins que expiren i l'aplicació decideix què fer.

Proveu la caiguda, el parpelleig i el camí de tornada

Traieu el primari amb trànsit inofensiu en marxa, i després llegiu quatre coses: Status > Gateways per als estats dels membres del grup, pfctl -ss per als estats encara fixats a la passarel·la antiga, un traceroute des d'un client per al camí de sortida i una consulta al resolutor per veure quin servidor ha respost.

Ara feu-lo parpellejar. Pugeu el primari durant trenta segons, baixeu-lo durant trenta, dues vegades. Si el trànsit persegueix cada transició, els llindars són massa estrets o els nivells són equivocats. Arregleu-ho segons el vostre calendari, perquè si no un proveïdor ho farà segons el seu.

Finalment, confirmeu que encara podeu administrar l'encaminador. Manteniu un camí fora de banda com un cable de consola, una VLAN de gestió o un mòdem cel·lular. Una prova de commutació per error que us deixa fora és una prova que no podeu acabar, i un encaminador inaccessible no pot tornar sol.

Abans de donar la política per feta, hauríeu de poder respondre quatre preguntes sense obrir un terminal: quines VLAN poden usar la WAN mentre el túnel està caigut, què vigila el detector i quant espera, quins servidors de noms i rutes IPv6 es mouen amb el camí, i com torneu a entrar si la reserva també falla. Si qualsevol resposta és “el que fos per defecte”, la política encara pertany a l'encaminador i no a vosaltres.