Sut i adeiladu polisi methiant VPN ar y llwybrydd heb ollyngiadau

Gweithiodd y methiant yn union fel y'i ffurfweddwyd, a dyna oedd y broblem. Pan gwympodd y prif dwnnel, symudodd y llwybrydd y llwybr diofyn i'r modem cebl, parhaodd y gliniaduron i bori, ac ni ffoniodd neb. Ddau ddiwrnod yn ddiweddarach sylwodd rhywun fod y gyfranddawn ariannol wedi bod yn gyrraeddadwy dros y llwybr rhyngrwyd agored am chwe awr. Nid yw polisi methiant VPN ar lwybrydd yn dric llwybro; mae'n benderfyniad ynghylch beth ddylai traffig ei wneud pan fydd y llwybr a ffefrir wedi mynd, ac mae'n rhaid i'r penderfyniad hwnnw fodoli cyn i'r llwybr ddiflannu.

Penderfynwch y canlyniad cyn i chi ddewis y canfodydd

Fel arfer mae tri chanlyniad ar y bwrdd: anfon cleientiaid yr effeithiwyd arnynt drwy dwnnel wrth gefn, gadael iddynt ddefnyddio'r WAN cyffredin, neu eu rhwystro'n llwyr. Ysgrifennwch pa un sy'n berthnasol i ba VLAN, SSID neu ddosbarth dyfais. Rheol unfflat “newid i WAN” yw sut y daeth y gyfranddawn ariannol uchod i lwybr cyhoeddus.

Nid yw'r tri yn gyfnewidiol. Mae cwympiad wrth gefn WAN yn cadw'r ddesg gymorth yn ateb ffonau tra'n datgelu enwau mewnol i'r datryswr lleol. Mae twnnel wrth gefn yn cadw'r polisi ond gall lanio ar gyfeiriad allan nad yw'r ochr arall yn ei dderbyn. Mae rhwystro'n gywir ar gyfer VLAN cyflogres ac yn anghywir ar gyfer rhwydwaith gwestai nad oedd erioed wedi defnyddio'r twnnel.

Cyfatebwch y canfodydd i'r methiant rydych chi wir yn ei ofni

Mae cyflwr ysgwyd llaw, cyflwr rhyngwyneb a chyfeiriannau y gellir eu defnyddio yn dri signal gwahanol, a dim ond yr olaf sy'n bwysig i ddefnyddiwr. Gall cymar WireGuard ddangos ysgwyd llaw diweddar tra bod uwch-lif y darparwr yn taflu pecynnau i dwll du. OpenVPN gall y cleient aros ar “cysylltiedig” ar ôl i'r llwybr a wthiodd roi'r gorau i ddatrys.

Ar pfSense y trefniant ymarferol yw grŵp porthi a fwydir gan dpinger, sy'n profi cyfeiriad monitro ac yn nodi porth fel un i lawr pan fydd colled neu gyswllt yn croesi ei drothwyon. Anelwch y monitro hwnnw at rywbeth y tu hwnt i'r twnnel, fel gwesteiwr ar y LAN bell neu gyfeiriad cyhoeddus rydych chi'n ei gyrraedd drwyddo. Mae ei anelu at gyfeiriad cymar y twnnel ei hun yn mesur y rhan rydych chi'n gwybod yn barod sy'n fyw.

Adeiladwch y grŵp fel bod y copi wrth gefn yn parhau'n opsiwn olaf

Defnyddiwch haenau yn lle un rhestr aelodau fflat. Cynradd yn haen 1, twnnel wrth gefn yn haen 2, WAN yn haen 3 dim ond ar gyfer y VLANau y mae eu polisi yn caniatáu hynny. Yn pfSense mae hyn o dan System > Routing > Gateway Groups: ychwanegwch y ddau borth, rhowch haenau gwahanol iddynt, gosodwch Trigger Level i member down plus packet loss, arbedwch, yna cymhwyswch y grŵp fel diofyn y rhyngwyneb neu ym maes Gateway y rheolau tân sydd ei angen.

Ar gyfer achos cleient OpenVPN ar pfSense 2.5 ac yn ddiweddarach, mae gosodiad Default Gateway yr achos yn penderfynu a yw'r twnnel yn disodli llwybr diofyn y system o gwbl. Dim ond pan fydd y llwybr rydych chi'n tybio sy'n bodoli mewn gwirionedd wedi'i osod y mae llwybro polisi yn ôl rheol yn ymddwyn fel rydych chi'n disgwyl. Gwiriwch Status > Gateways ar ôl y newid yn lle ymddiried yn eicon statws y twnnel.

Mae dau osodiad yn achosi'r rhan fwyaf o'r fflapio. Un yw cyfwng prawf sy'n fyrrach na ailgydgyfeiriad y darparwr ei hun. Y llall yw grŵp lle mae cynradd a chwrw yn rhannu haen, felly mae'r ddau yn parhau'n gymwys drwy'r amser. Ychwanegwch hysteresis drwy drothwyon colled a chyswllt cyn i'ch defnyddwyr deimlo'r newidiadau drosoch chi.

Caewch y llwybrau nad oedd y twnnel erioed wedi'u meddu

Yn gyntaf, gollyngiadau DNS. Mae'r datryswr yn parhau i ateb ar y WAN ac yn anfon allan drwyddo, felly mae enwau'n parhau i ddatrys drwy'r ISP tra bod traffig wedi'i binio i'r twnnel. Cyfyngwch ryngwynebau allan y datryswr, gwthiwch y datryswr mewnol at gleientiaid, a rhwystrwch borth 53 i bopeth arall ar y VLANau VPN yn unig.

Mae angen penderfyniad ei hun ar IPv6. Gall LAN deu-stac golli'r twnnel a chadw llwybr diofyn IPv6 byd-eang sy'n gweithio, felly mae porwyr yn ffafrio IPv6 ac yn gadael drwy'r WAN tra bod IPv4 yn edrych yn gwbl gaeedig. Naill ai llwybrwch IPv6 i'r twnnel neu stopiwch hysbysebu rhagddodiad byd-eang tra bod y twnnel i lawr. Mae hanner polisi yn waeth na dim, oherwydd mae'n edrych fel ei fod yn gweithio.

Yna'r llwybr dychwelyd. Os yw'r allanfa wrth gefn yn defnyddio cyfeiriad ffynhonnell gwahanol, rhaid i'r ochr arall wybod sut i anfon traffig yn ôl ato, ac mae pob cyflwr sy'n gysylltiedig â'r hen gyfeiriad eisoes yn farw. Nid yw sesiynau a agorwyd pan gwympodd y cynradd yn mudo; maent yn aros nes iddynt ddod i ben ac mae'r cymhwysiad yn penderfynu beth i'w wneud.

Profwch y cwymp, y fflap a'r ffordd yn ôl i mewn

Tynnwch y cynradd gyda thraffig diniwed yn rhedeg, yna darllenwch bedwar peth: Status > Gateways ar gyfer cyflyrau aelodau'r grŵp, pfctl -ss ar gyfer cyflyrau sy'n dal i fod wedi'u pinio i'r hen borth, traceroute o gleient ar gyfer y llwybr allan, a ymholiad datryswr i weld pa weinydd a atebodd.

Nawr fflapiwch ef. Codwch y cynradd am dri deg eiliad, i lawr am dri deg, ddwywaith. Os yw traffig yn dilyn pob newid, mae'r trothwyon yn rhy dynn neu mae'r haenau'n anghywir. Trwsiwch hynny ar eich amserlen, oherwydd fel arall bydd darparwr yn ei wneud ar ei un.

Yn olaf, cadarnhewch y gallwch chi o hyd weinyddu'r llwybrydd. Cadwch lwybr all-fand fel cebl consol, VLAN rheoli neu fodiwm symudol. Mae prawf methiant sy'n eich cloi allan yn brawf na allwch chi ei orffen, ac ni all llwybrydd anhygyrch ddychwelyd ar ei ben ei hun.

Cyn i chi alw'r polisi'n barod, dylech allu ateb pedair cwestiwn heb agor terfynell: pa VLANau a ganiateir i ddefnyddio'r WAN tra bod y twnnel i lawr, beth mae'r canfodydd yn ei wylio a pha mor hir y mae'n aros, pa weinyddwyr enwau a llwybrau IPv6 sy'n symud gyda'r llwybr, a sut rydych chi'n mynd yn ôl i mewn os bydd y copi wrth gefn yn methu hefyd. Os yw unrhyw ateb yn “beth bynnag oedd y diofyn”, mae'r polisi'n dal i berthyn i'r llwybrydd yn hytrach na chi.