Dos túnels IPsec actius encara necessiten un pla de camí de tornada

Obre un terminal en una estació de treball d'un lloc i connecta't a un servidor de l'altre. Aquesta única conversa TCP ara ha de travessar quatre passarel·les en lloc de dues, i la part interessant no és si funciona en un bon dia. La part interessant és quin parell de passarel·les ha triat la direcció d'anada, quin parell tria la resposta i qui manté l'estat del flux mentre passa. Res de la taula d'encaminament decideix això per tu.

Dibuixa quatre passarel·les abans de dibuixar una ruta

Un disseny doblement actiu amb dos tallafocs VPN independents per lloc, un parell per proveïdor, et dona dos camins utilitzables i tres maneres de trencar-los. Anota les adreces abans de configurar res: el client tal com es veu abans i després de cada passarel·la, el servidor igual, el següent salt d'anada i el següent salt de tornada.

Aquesta taula és el disseny. Tot el que ve després és una qüestió de si els dispositius hi estan d'acord.

Com es tria el camí d'anada

Una capa d'encaminament multipath d'igual cost distribueix els fluxos entre els següents salts fent hash dels camps de la capçalera, cosa que RFC 2992 descriu amb detall. Aquesta selecció pot ser del tot sense estat: no necessita cap entrada de seguiment de connexions, només un hash estable sobre camps inalterats. Mantingues el conjunt de camins i les entrades del hash constants i cada paquet del flux triarà el mateix següent salt.

La selecció per flux evita el reordenament que causaria el balanceig paquet a paquet entre enllaços amb retards diferents. No promet que un cost d'encaminament igual signifiqui una latència mesurada igual, perquè no és així. I quan canvia la composició dels camins, els fluxos es remapegen, així que la supervivència de la connexió durant una fallada és un requisit separat de la selecció de camí.

Què necessita realment el camí de tornada

Aquí el recorregut deixa de ser simètric. Un hash d'anada estable no et diu res sobre què farà el lloc remot amb la resposta. Si un tallafocs independent ha de veure les dues direccions de la connexió per mantenir estat útil, una ruta de tornada que el bypassa deixa el trànsit sense coincidir amb res. Dues caixes amb conjunts de regles semblants no són estat compartit.

Confirma el comportament bidireccional implementat o escriu una política explícita que mantingui coherents els límits necessaris. Una conjectura aquí es descobreix durant una caiguda, per gent que no ho està gaudint.

On la traducció decideix per tu

NAT és l'altra palanca, i és opcional en lloc d'obligatòria. Les identitats traduïdes específiques del camí poden dirigir les respostes cap a la passarel·la que manté l'estat, cosa que és un disseny legítim. També afegeixen mapes, rutes de tornada i un propietari d'aquest estat, així que accepta la càrrega només per un requisit que puguis dir en veu alta.

Si el requisit és simplement que els dos camins portin trànsit i que qualsevol dels dos sobrevisqui a la pèrdua d'un proveïdor, el multipath per flux amb encaminament de tornada coherent sol ser el disseny més petit.

Recorre l'acceptació per ordre

Prova en aquesta seqüència i registra les adreces a cada pas: una connexió nova al camí A i el seu camí de resposta, el mateix al camí B, després la pèrdua d'un proveïdor i després la restauració. Per a cada resultat, anota quins fluxos establerts s'han mogut, quins han hagut de reconnectar-se i on han anat els fluxos nous després. Escriu primer el valor esperat i després compara'l amb la captura. Dos túnels establerts no proven res d'això.

El disseny està acabat quan la taula que has escrit coincideix amb el que mostra la captura, no quan tots dos túnels estan aixecats.