Andet VPN-endepunkt: hvad det dækker, og hvad det ikke gør

To endepunkter ser på papiret ud som redundans. I praksis hjælper en anden adresse kun, når klienterne kan nå den, og når den undgår den fejl, du forbereder dig på. To servere bag samme adgangsforbindelse, samme konto eller samme målnetværk fejler sammen. Det nyttige spørgsmål er, hvilken enkelt fejl det andet endepunkt fjerner.

Sammenlign hvad begge endepunkter deler

List hvad de to endepunkter har til fælles, før du tæller, hvad de duplikerer. Hostingplacering, udbyderkonto, upstream-transit, DNS-hosting, identitetskilden og den private ressource bag tunnelen repræsenterer hver især en delt eller en uafhængig afhængighed. To virtuelle maskiner i én region deler en udbydernedbrud. To regioner under én konto deler stadig faktureringsforholdet og det kontrolplan, der opretter dem.

Målnetværket fortjener samme behandling. En sund reservegateway kan ikke genskabe en NAS, der er offline, og den kan ikke nå et kontornetværk, hvis uplink er nede. Hvis begge endepunkter ender i samme private subnet, tilføjer det andet kun en vej til en destination, der allerede er det eneste fejlpunkt.

Identitet er den afhængighed, folk glemmer. Kloning af certifikatet og konfigurationen til en anden vært skaber to steder, hvor den samme legitimationsoplysning kan kopieres, og det siger intet om, hvordan tilbagekaldelser når begge.

Beslut hvordan en klient skifter

Et andet endepunkt er kun nyttigt, hvis klienten kender det og kan vælge det uden et opkald til support. OpenVPN-forbindelsesprofiler kan indeholde flere remote-linjer med en valgpolitik, og de fleste klienter viser en alternativ profil i en menu. Uanset mekanismen skal du skrive ned, hvilken dine brugere har, for en profil, de ikke kan finde, er ikke failover.

Læs klientdokumentationen om adresseændringer i løbet af en session. Nogle implementeringer beholder den oprindelige peer i hele tunnelens levetid og ser først på alternativer ved genopkobling. Den forskel afgør, om et dødt endepunkt giver en kort afbrydelse eller en session, der aldrig kommer sig. Test genopkoblingsvejen i stedet for at antage, at den sker.

En ændret udgangsadresse ødelægger også applikationstilstand. Failover er genopretning, og at beskrive det som uafbrudt kontinuitet skaber en forventning, transporten ikke kan indfri.

Test én rigtig fejl

Vælg én kontrolleret afbrydelse og kør den fra ende til anden i stedet for at stole på designdokumentet. Stop det primære endepunkt, og bekræft derefter, at en autoriseret klient når den tilsigtede applikation via alternativet, mens uautoriserede klienter stadig ikke kan. Notér, hvor lang tid skiftet tog, og hvad applikationen så.

dig +short vpn2.example.net
ip route get 10.20.30.41
journalctl -u openvpn@backup --since '-10 min'

Den første kommando bekræfter, at reservenavnet opløses til noget rutbart, før du får brug for det, og det er den billigste test her. Den anden viser, hvilken grænseflade kernen ville bruge til en privat destination, når alternativet er oppe. Den tredje giver klientloggen med navnet på den peer, den faktisk koblede til, og det er det eneste bevis for, at skiftet skete. Hold også øje med blokeringsadfærden i mellemrummet, for en politik, der lækker trafik under skiftet, er værre end en kort afbrydelse.

Bring derefter originalen tilbage, og bekræft, om klienten vender tilbage. Et failback, der sker ved et uheld, er en adfærd, ingen havde planlagt.

Skriv ned, hvad den anden adresse giver

Opsummer dækningen i ét afsnit: hvilken fejl det andet endepunkt fjerner, hvilke fejl det deler med det første, og hvilke antagelser skiftet hviler på. Navngiv mekanismen på klientsiden samt de private ruter og den DNS-adfærd, der skal findes begge steder. En offentlig internetudgang er ikke en erstatning for en privat gateway, og et dokument, der behandler dem som ens, vil blive troet på. Tilføj den genopretningstest, du kørte, med dato og resultat.

Uafhængighed af én server er ikke uafhængighed af den delte konto eller målnetværket. Det afsnit, der siger det højt, er det, der forhindrer, at en anden adresse sælges internt som høj tilgængelighed. Det fortæller også den næste operatør, hvad der skal tjekkes først, når parret fejler sammen.