Tri math o ailgyfeirio OpenVPN ar pfSense, tri mecanwaith

Mae „OpenVPN failover“ ar pfSense yn cwmpasu o leiaf tri chynllun di-gysylltiad, ac mae pob un angen mecanwaith gwahanol. Cadw twnnel yn fyw dros linc rhyngrwyd wrth gefn, ailgysylltu â gweinydd arall a llywio traffig LAN i dwnnel arall sydd eisoes wedi'i sefydlu nid ydynt yn amrywiadau o un nodwedd. Dewiswch y methiant rydych yn amddiffyn yn ei erbyn cyn adeiladu grŵp pyrth. Nid yw grŵp sy'n trwsio un ohonynt yn gwneud dim i'r ddau arall.

Enwch y methiant cyn adeiladu grŵp

Ysgrifennwch y frawddeg rydych am iddi fod yn wir yn ystod ymyrraeth. Mae „Mae'r twnnel yn ailgysylltu dros y WAN wrth gefn“ a „mae'r gangen yn dal i gyrraedd y rhaglen drwy'r twnnel arall“ yn frawddegau gwahanol. Dim ond yr un gyntaf sy'n ymwneud â'r cludo.

Yna parwch hi â mecanwaith. Mae colli'r WAN lleol yn broblem dewis rhyngwyneb, mae pen draw pell wedi marw yn broblem rhestr cysylltiadau, ac mae llwybr na ellir ei ddefnyddio y tu mewn i dwnnel sefydledig yn broblem llwybro a pholisi.

WAN lleol: symudwch y cludo

Ar gyfer cleient OpenVPN pfSense, mae'r trefniant aml-WAN a gefnogir yn dewis grŵp pyrth addas fel y rhyngwyneb y mae'r cleient yn bondio iddo. Dyna sy'n gadael i'r cysylltiad allanol adael dros y linc wrth gefn pan fydd yr un sylfaenol yn methu. Nid yw ynddo'i hun yn newid sut mae'r traffig mewnol yn cael ei lwybro.

Mae ochr gweinydd yr un cynllun ar wahân. Mae angen gwrandäwr a pholisi mynediad ar gyfer pob un o'r cofnodion hynny ar weinydd OpenVPN y dylid gallu ei gyrraedd dros sawl cyfeiriad cyhoeddus, nid yn unig cleient sy'n gwybod deialu dros ddau linc. Nid yw un cofnod cyhoeddus sy'n gweithio yn brawf bod yr ail wedi'i ffurfweddu.

Nid yw rheol llwybro sy'n seiliedig ar bolisi ar gyfer pecynnau LAN a anfonir ymlaen y gosodiad sy'n symud cysylltiad cludo VPN a grëwyd yn lleol. Mae'r rhain yn ddau chwiliad gwahanol, ac nid yw newid y naill yn newid y llall.

Pen draw pell: gweinydd arall

Mae remote amgen yn nodwedd o'r rhestr cysylltiadau. Mae'r cleient yn ceisio'r cofnod nesaf pan nad yw'r un presennol yn ateb, sy'n ddefnyddiol pan fydd gwesteiwr penodol i lawr ac nid pan fydd eich linc i fyny i lawr. Mae'r ddau fethiant yn edrych yr un fath o ddesg defnyddiwr ac angen trwsiadau gwahanol.

Rhaid i bob ymgeisydd fod yn ddisodliad go iawn: dilysiad cydnaws, polisi cleient cydnaws a mynediad at yr un adnoddau preifat. Nid yw ail enw gwesteiwr sy'n datrys i'r un isadeiledd sydd wedi torri yn gopi wrth gefn. Nid yw gweinydd heb y llwybr gofynnol ychwaith, waeth pa mor iach y mae ei gyfarchiad yn edrych.

Nid yw'r mecanwaith hwn ychwaith yn gwneud i ddau dwnnel anfon ar yr un pryd. Mae'n disodli un cysylltiad ag un arall, yn olynol, ac mae'r bwlch rhyngddynt i'w weld gan bopeth oedd yn rhedeg.

Llwybr y twnnel: dewiswch allanfa arall

Pan fydd dau dwnnel eisoes i fyny ac mae'r traffig i ddefnyddio'r un iachach, y mecanwaith yw rhyngwyneb VPN a neilltuwyd gyda'i borth ei hun, ynghyd â rheol bolisi benodol sy'n anfon y traffig cywir yno. Gall grŵp pyrth dros y rhyngwynebau neilltuedig hynny fynegi blaenoriaeth a monitro.

Mae'r cynllun hwnnw'n ymwneud â dewis, nid ag adfer. Nid yw symud cysylltiadau newydd i'r ail dwnnel yn dweud dim am sesiynau sydd eisoes wedi'u sefydlu ar yr un cyntaf, ac yn dweud dim am a fydd yr ochr bell yn derbyn y cyfeiriad ffynhonnell newydd. Triniaethu hyn fel mecanwaith adfer yw'r ffordd i osod disgwyliadau'n rhy uchel.

Os yw'r gofyniad yn un bod sesiynau presennol yn goroesi, dywedwch hynny'n benodol. Nid yw'r rhan fwyaf o weithrediadau'n mudo fflŵ byw rhwng twneli, ac mae cynllunio fel petaent yn gwneud hynny yn cynhyrchu failover sy'n edrych yn gywir ar ddarlun ac yn ymarferol yn gollwng pob cysylltiad agored.

Monitror, NAT a'r rheol fail-closed

Dylai monitr brofi rhywbeth y dylai'r twnnel ei ddanfon. Bydd targed sy'n ateb o bartner y twnnel ond nid o rwydwaith y rhaglen y tu hwnt iddo yn adrodd yn iach tra nad yw defnyddwyr yn gweld dim. Bydd targed diagnostig na ellir ei gyrraedd yn adrodd yn farw tra mae'r llwybr yn iawn. Dewiswch y cyfeiriad yn fwriadol a chadarnhewch mai dim ond drwy'r twnnel a fwriedir y gellir ei gyrraedd.

Gwiriwch y NAT allan ar gyfer y ddwy allanfa. Nid yw cyfieithiad sy'n gweithio ar yr un sylfaenol yn disgrifio cyfeiriad ffynhonnell y copi wrth gefn, ac mae angen llwybr dychwelyd ar y rhwydwaith preifat pell sy'n cyfateb i'r ffynhonnell rydych yn ei chyflwyno. Gall cyfieithiad sy'n gywir ar un llwybr fod yn dawel anghywir ar y llall.

Yna penderfynwch beth sy'n digwydd i'r traffig sy'n na chaniateir iddo ddefnyddio'r WAN. Mae gan pfSense ymddygiad diffiniedig ar gyfer rheolau sydd â'r porth a ddewiswyd i lawr, a gall rheol drwodd lydan hwyrach neu lwybr diofyn ddadwneud eich bwriad. Ysgrifennwch y canlyniad a rwystrwyd fel gofyniad, yna gwiriwch ef drwy dynnu'r llwybr i lawr.

Profwch golled ac adfer ar wahân, gyda thraffig y cewch ei gynhyrchu, a gwyliwch dri pheth ar unwaith: y WAN sy'n cario'r cysylltiad allanol, y twnnel sy'n cario'r cais rhaglen a'r llwybr y mae'r ateb yn ei gymryd. Nid yw pâr o ddangosyddion porth gwyrdd yn un o'r tri hynny. Canllaw aml-WAN Netgate yn disgrifio'r bondio cludo a'r dewisiadau cleient a allforiwyd y mae hyn yn dibynnu arnynt.