Mae ail fynedfa VPN WAN yn methu tra bo'r brif un yn dal i weithio

Mae'r prif dwnnel yn parhau i fod i fyny, mae defnyddwyr yn dal i weithio, ac mae ail gylched yr ISP yn eistedd yn segur waeth beth a newidiwch. Fe wnaethoch gyhoeddi cyfeiriad ar gyfer y gylched wrth gefn, pwyntio enw ato, efallai ychwanegu cofnod wrth gefn i'r cleient, ac mae'r cleient naill ai byth yn rhoi cynnig arno neu'n dilysu ac yna'n marw. Yn yr achosion rwyf wedi'u holrhain, roedd y nodwedd failover fel arfer yn iawn; yr hyn oedd ar goll oedd un o'r pum peth sy'n gwneud cofnod yn ddefnyddiadwy. Gall enw ddatrys i'r cyfeiriad wrth gefn tra nad oes unrhyw beth yn gwrando ar y rhyngwyneb hwnnw, a gall gwrandawr dderbyn cysylltiad tra bo'r ateb yn gadael trwy'r prif un. Triniwch bob WAN fel cofnod ar wahân gyda'i gontract ei hun ac mae'r methiant yn peidio â bod yn ymddangos fel nam ar y cleient.

Mae angen ei gontract cofnod ei hun ar bob WAN

Cofnodwch bum maes fesul WAN: yr enw a'r cyfeiriad cyhoeddus, y cludiant a'r porthladd, y rhyngwyneb neu'r cyd-destun sy'n ei derfynu, hunaniaeth y cymar y dylai ei chyflwyno, a ble mae'r ateb yn gadael. Mae dwy gylched yn golygu dau set gyflawn. Os nad oes gan yr ail set ryngwyneb terfynu na llwybr dychwelyd, nid oes gennych gofnod wrth gefn; mae gennych gofnod DNS sy'n disgrifio bwriad.

Rhaid i'r offeryn a'i ryddhad hefyd gefnogi'r drefniant. Ni all cofnod DNS agor gwasanaeth ar ryngwyneb arall, ac ar lawer o lwyfannau mae'r gwrandawr yn cael ei ffurfweddu fesul cyfeiriad yn hytrach na fesul dyfais. Mae IPsec yn seiliedig ar ryngwyneb ar ASA yn clymu mapiau crypto a grwpiau twnnel i'r rhyngwyneb allanol, felly mae angen polisi ar yr ail uplink lle mae'r pecynnau hynny'n cyrraedd mewn gwirionedd. Mae dyluniadau yn seiliedig ar lwybrau yn ymddwyn yn wahanol: gall y gwrandawr rwymo i bob cyfeiriad neu i un cyfeiriad a enwir, ac mae'r dewis hwnnw'n penderfynu a all ISP B ateb o gwbl.

Gwiriwch fod yr ail WAN yn ateb mewn gwirionedd

Profwch o'r tu allan i'r ddwy gylched, nid o beiriant y tu ôl i'r porth, a phrofwch yr union enw y mae proffil y cleient yn ei ddefnyddio. Ar gyfer gwrandawr TLS, y gwiriad cyflym yw openssl s_client -connect ADDRESS:443 -servername vpn.example.com -showcerts wedi'i redeg o westeiwr y tu allan i'ch rhwydwaith. Rydych am handshake wedi'i gwblhau y mae ei gadwyn yn cyfateb i'r enw yn y proffil, nid porthladd TCP yn unig sy'n derbyn cysylltiad.

RFC 9525 yn esbonio'r hyn y mae'r cleient yn ei wirio: yr hunaniaeth yr oedd yn bwriadu ei chyrraedd, o'i chymharu â'r dystysgrif y mae'r gwasanaeth yn ei chyflwyno. Mae ail gofnod sy'n dychwelyd tystysgrif y prif gofnod, neu dystysgrif ragosodedig nad yw'n rhestru'r naill enw na'r llall, yn methu'r prawf hwn er bod y porthladd ar agor ac er bod y wal dân yn caniatáu hynny.

Mae dau batrwm yn esbonio'r rhan fwyaf o'r methiannau yma. Mae cysylltiad sy'n hongian fel arfer yn golygu nad oes gwrandawr ar y rhyngwyneb hwnnw, rheol mynediad sy'n caniatáu prif isrwyddi yn unig, neu ddyfais cludwr o flaen yr ail gylched sy'n gollwng y porthladd. Mae handshake sy'n gorffen gyda'r hunaniaeth anghywir fel arfer yn golygu trustpoint gwahanol, gwesteiwr rhithwir rhagosodedig, neu ffurfweddiad wedi'i gopïo o'r prif un heb addasu'r hunaniaeth.

Dilynwch yr ateb, nid y cais yn unig

Mae'r ail WAN fel arfer yn torri ar y ffordd yn ôl. Mae cais yn cyrraedd trwy ISP B, mae'r offeryn yn ateb, ac mae'r ateb yn gadael trwy'r llwybr rhagosodedig ar ISP A gyda chyfeiriad ffynhonnell na ofynnodd y cleient amdano erioed. Mae cyfieithu â chyflwr yn gwaethygu pethau: os yw'r mapio wedi'i adeiladu ar gyfer y prif ryngwyneb, mae'r pecyn sy'n dychwelyd yn colli'r cyfieithiad neu'n cario ffynhonnell y mae wal dân y cleient yn ei gollwng. Mae darparwyr hefyd yn gollwng cyfeiriadau ffynhonnell nad ydynt yn perthyn i'r gylched a roesant i chi, a dyna pam mae hyn yn edrych fel twll du unffordd yn hytrach na gwall protocol glân.

Gwiriwch y penderfyniad llwybro ar gyfer traffig sy'n deillio o'r ail gofnod. Dylai'r ateb adael y rhyngwyneb y cyrhaeddodd y cais arno, neu o leiaf gario cyfeiriad y mae'r ochr bell yn ei dderbyn fel un sy'n perthyn i'r llwybr hwnnw. Ar lwyfannau sy'n llwybro drwy bolisi mae hynny'n golygu rheol wedi'i chlymu i'r rhyngwyneb sy'n dod i mewn neu i'r ffynhonnell gyfieithiedig, ynghyd â datganiad cyfieithu wedi'i rwymo i bob rhyngwyneb allanol. Cofnodwch ar y ddau ryngwyneb ar yr un pryd tra bo'r cleient yn cysylltu; mae SYN yn cyrraedd ar ISP B gyda'r SYN-ACK yn gadael ar ISP A yn setlo'r cwestiwn mewn un rhediad.

Rhowch ffordd i'r cleient ddysgu am gofnod dau

Mae failover yn benderfyniad ar ochr y cleient, ac mae pob teulu cleient yn dysgu am ddewisiadau eraill yn wahanol. Ar ASA, mae'r rhestr gweinyddwr wrth gefn yn cael ei dosbarthu trwy nodweddion webvpn y polisi grŵp, tra bo cleientiaid eraill yn disgwyl rhestr o fewn y proffil neu ail broffil â llaw y mae'r defnyddiwr yn ei ddewis. Mae canllaw polisi cysylltiad Cisco yn disgrifio gwybodaeth wrth gefn a ffurfweddir yn y cleient a'r un a ddarperir gan y porth, ac ni ddylid cyffredinoli'r manylion hynny sy'n benodol i brotocol i bob cleient na modd twnnel. Cadarnhewch pa fecanwaith y mae'r cleient a gyflwynwyd yn ei weithredu cyn i chi adeiladu'r ail gofnod o amgylch yr un anghywir.

Beth bynnag fo'r mecanwaith, rhaid i'r cleient allu datrys yr enw arall cyn iddo golli'r prif lwybr. Y ddibyniaeth honno yw'r un y mae pobl yn ei cholli: os atebir yr enw wrth gefn gan ddatryswr sy'n cyrraeddadwy yn unig trwy'r twnnel sydd newydd fethu, ni all yr wrth gefn ddechrau o gwbl. Cyhoeddwch yr ail enw mewn datryswr sy'n ateb yn lleol neu dros y rhyngrwyd. Disgwyliwch ddilysiad newydd a sesiwn cymhwysiad newydd ar ôl y symudiad, oherwydd nid failover â chyflwr yw failover y cleient ac nid yw sesiynau hirhoedlog yn goroesi.

Mae un cyfeiriad ar ddau ddarparwr yn gynnyrch gwahanol

Mae cadw un cyfeiriad cyhoeddus yn gyrraeddadwy trwy'r ddwy gylched yn wasanaeth llwybro, nid blwch ticio ar y VPN. Mae angen gofod cyfeiriad y mae'r ddau ddarparwr yn fodlon ei gario, wedi'i gyhoeddi mewn ffordd y mae eu rhwydweithiau'n ei derbyn, a dyna a roddir gan aml-gartrefu gyda gofod annibynnol ar y darparwr a BGP. Nid yw neilltuo cyfeiriad ISP A i ryngwyneb ISP B yn cyrraedd yno; mae'r pecyn yn cyrraedd rhwydwaith na hysbysebodd y rhagddodiad erioed ac yn cael ei ollwng i fyny'r afon.

Nid oes angen unrhyw un o'r rheini i gyhoeddi dau gofnod. Os gall y cleient ddal dau enw a methu rhyngddynt, mae dau gofnod annibynnol yn ddigon, ac rydych yn osgoi rhif AS, trefniant peering, a rhagddodiad y mae'n rhaid ei dderbyn ym mhob man. Ystyriwch yr opsiwn cyfeiriad cludadwy dim ond pan fydd gwir angen un man mynediad sefydlog na ellir ailffurfweddu cleientiaid i'w ddisodli, neu pan fydd failover yn seiliedig ar DNS gyda'i oedi TTL yn rhy araf ar gyfer y toriad yr ydych yn dylunio yn ei erbyn.

Beth i'w wirio nesaf

Gweithiwch allan o'r cofnod sy'n methu yn y drefn hon: a yw'r ail gyfeiriad yn ateb o'r tu allan, a yw'n cyflwyno'r hunaniaeth y mae'r cleient yn ei disgwyl, a yw'r ateb yn gadael y ffordd y cyrhaeddodd y cais, ac a all y cleient ddysgu'r enw cyn iddo fod ei angen. Lle mae'r ateb yn na, trwsiwch y haen honno a phrofwch eto gyda'r proffil a gyflwynwyd yn hytrach na gwesteiwr prawf, oherwydd mae handshake o'r labordy yn profi llai na chysylltiad wedi'i gwblhau o'r cleient go iawn.

Cadwch gofnod byr fesul WAN, gyda chyfeiriad, porthladd, rhyngwyneb terfynu, enw tystysgrif, llwybr dychwelyd a rheol cyfieithu, a'i ail-wirio pryd bynnag y bydd cylched, dyfais NAT neu fersiwn cleient yn newid. Mae llwybrau wrth gefn segur yn pydru'n dawel: nid oes unrhyw beth yn rhybuddio am y cofnod nad oes neb yn ei ddefnyddio nes y diwrnod y mae pawb yn dibynnu arno.