Η εφεδρική διαδρομή VPN δεν αναλαμβάνει: λίστα ελέγχου μετάβασης

Η αιωρούμενη διαδρομή VPN σας είναι ρυθμισμένη, η απόσταση της εφεδρικής είναι μεγαλύτερη από της κύριας, και ωστόσο τίποτα δεν μετακινείται ποτέ. Ή μετακινείται και επιστρέφει λίγα λεπτά αργότερα, ενώ η ασύρματη ζεύξη είναι ακόμη κάτω. Και στις δύο περιπτώσεις, κάτι άλλο από τη βλάβη που σας απασχολεί αποφασίζει την καταλληλότητα της διαδρομής.

Εκτελέστε αυτούς τους ελέγχους με σειρά. Ο καθένας έχει συνθήκη διακοπής, και ένας αποτυχημένος έλεγχος δεν μπορεί να σωθεί από τους επόμενους. Τα παραδείγματα χρησιμοποιούν σύνταξη RouterOS επειδή η απόσταση, η προσβασιμότητα της πύλης και το αναδρομικό επόμενο άλμα είναι όλα ορατά στη διαμόρφωση εκεί, αλλά η σειρά ισχύει για κάθε δρομολογητή με παρακολουθούμενες στατικές διαδρομές.

Ονομάστε τη βλάβη που πρέπει να καλύψει η εφεδρεία

Το «η κύρια είναι κάτω» είναι τέσσερις διαφορετικές παρατηρήσεις. Ένα ραδιόφωνο που χάνει τον ομότιμό του, μια διεπαφή που χάνει τον φορέα της, μια απομακρυσμένη πύλη που σταματά να απαντά και μια εφαρμογή που σταματά να λειτουργεί φαίνονται όλα διαφορετικά από τη θέση του δρομολογητή. Γράψτε για ποια από αυτές είναι ο σχεδιασμός πριν αλλάξει κάποιος μια τιμή απόστασης.

Στη συνέχεια ελέγξτε την ανεξαρτησία. Αν η εξωτερική μεταφορά του VPN τρέχει πάνω στην ίδια ασύρματη διαδρομή ή πάνω σε ζεύξη πρόσβασης που μοιράζεται το ίδιο ανάντη, η εφεδρεία δεν είναι δεύτερο πεδίο βλάβης και θα είναι κάτω ακριβώς όταν τη χρειάζεστε. Τραβήξτε το κύριο καλώδιο στο χαρτί: αν η μεταφορά του ίδιου του τούνελ πεθάνει μαζί του, η αιωρούμενη διαδρομή καλύπτει μόνο λάθη διαμόρφωσης, όχι διακοπές.

Σταματήστε να ζητάτε από την απόσταση να ανιχνεύσει οτιδήποτε

Μεγαλύτερη απόσταση κάνει μια διαδρομή λιγότερο προτιμώμενη. Αυτή είναι όλη η δουλειά. Όσο η κύρια στατική διαδρομή παραμένει κατάλληλη, η αιωρούμενη διαδρομή παραμένει ανενεργή, και αυτή είναι σωστή συμπεριφορά και όχι σφάλμα. Η βλάβη γίνεται ορατή μόνο όταν η κύρια αποσυρθεί ή σημαδευτεί ως μη προσβάσιμη.

Για στατικές διαδρομές αυτό απαιτεί ρητό ιχνηλάτη:

/ip route
add dst-address=10.20.0.0/24 gateway=192.0.2.1 distance=1 check-gateway=ping
add dst-address=10.20.0.0/24 gateway=wg-backup distance=10

Διαβάστε τι ελέγχει αυτό: το επόμενο άλμα, όχι τον προορισμό. Ένα ραδιόφωνο που απαντά ακόμη στην τοπική του πλευρά ενώ η προώθηση πέρα από αυτό είναι χαλασμένη κρατά την κύρια διαδρομή ενεργή. Αυτή είναι η σιωπηλή περίπτωση, και η απόσταση μαζί με έναν έλεγχο πύλης δεν θα την πιάσουν. Αν αυτή η περίπτωση έχει σημασία, η ανίχνευση πρέπει να έρθει από κάτι που παρατηρεί την απομακρυσμένη πλευρά: μια γειτνίαση πρωτοκόλλου δρομολόγησης ή έναν ανιχνευτή του οποίου τη διαδρομή και τον κανόνα αποτελέσματος έχετε ορίσει εσείς.

Ιχνηλατήστε πού πάνε τα ίδια τα πακέτα του ανιχνευτή

Και ο ανιχνευτής υγείας έχει διαδρομή. Μόλις η κίνηση δεδομένων περάσει στο VPN, ένας ανιχνευτής χωρίς περιορισμό προς την ίδια απομακρυσμένη διεύθυνση μπορεί να το ακολουθήσει, να πετύχει και να διαβαστεί ως απόδειξη ότι η κύρια επανήλθε. Η κίνηση επιστρέφει σε χαλασμένη διαδρομή και ο κύκλος επαναλαμβάνεται.

Καρφιτσώστε τον ανιχνευτή στη διαδρομή που υποτίθεται ότι κρίνει. Στο RouterOS ο συνήθης τρόπος είναι μια διαδρομή κεντρικού υπολογιστή προς τον στόχο παρακολούθησης μέσω της κύριας πύλης, με εύρος αρκετά μικρό ώστε καμία άλλη διαδρομή να μην μπορεί να την επιλύσει, και αυτό είναι που χτίζει το παράδειγμα αναδρομικής μετάβασης στο εγχειρίδιο του RouterOS. Επιβεβαιώστε το στον ζωντανό πίνακα με την εφεδρεία ενεργή, όχι από το σχόλιο της διαμόρφωσης:

/ip route print detail where dst-address=203.0.113.10
# gateway should still be the primary next hop

Ορίστε τι σημαίνει ένα αποτέλεσμα ανιχνευτή πριν προσθέσετε στόχους

Ένας στόχος που απορρίπτει ICMP ή μπαίνει σε συντήρηση μοιάζει ακριβώς με βλάβη διαδρομής, και τρεις στόχοι χωρίς κανόνα σας δίνουν απλώς τρεις γνώμες. Αποφασίστε πρώτα τον κανόνα και μετά εφαρμόστε τον: για παράδειγμα, η κύρια μετρά ως κάτω όταν δύο από τρεις στόχους αποτύχουν για δύο διαδοχικά διαστήματα, γραμμένο στο εγχειρίδιο λειτουργίας όπου θα το βρει ο επόμενος.

Ορίστε κατώφλια βλάβης και ανάκαμψης ώστε ένα χαμένο πακέτο να μη μετακινεί την εγκατάσταση. Η υστέρηση κοστίζει λίγο χρόνο ανίχνευσης και αγοράζει πίσω σταθερότητα. Διαλέξτε το διάστημα από το πόσο ανεκτή είναι μια διακοπή, όχι από το πόσο γρήγορα μπορεί να τρέξει ο ανιχνευτής, και κρατήστε την επιστροφή πιο αργή από τη μετάβαση ώστε η κύρια να πρέπει να αποδείξει τον εαυτό της πριν πάρει πίσω την κίνηση.

Ελέγξτε τη διαδρομή επιστροφής και την ιστορία των συνεδριών

Μια μετάβαση που λειτουργεί μόνο προς τα έξω είναι μισός σχεδιασμός. Ο απομακρυσμένος χώρος χρειάζεται διαδρομή επιστροφής προς το εύρος πηγής σας μέσω του VPN, αλλιώς η κίνηση επιστροφής φτάνει από απρόσμενη διεύθυνση και χτυπά κατάσταση τείχους προστασίας που δεν ταιριάζει πια. Οι υπάρχουσες συνεδρίες θα σπάσουν ακόμη και όταν οι νέες συνδέσεις δουλεύουν, οπότε βάλτε το στα κριτήρια αποδοχής αντί να υπόσχεστε επιβίωση της μεταφοράς.

Κρατήστε τη διαχείριση πρόσβασης έξω από τη διαδρομή που δοκιμάζεται. Αν η μόνη σας είσοδος είναι μέσω της κύριας, μια δοκιμή μετάβασης σάς κλειδώνει έξω από τη συσκευή που συμπεριφέρεται λάθος.

Εκτελέστε την ακολουθία αποδοχής

Τρεις δοκιμές καλύπτουν το μεγαλύτερο μέρος: φυσική απώλεια της κύριας, σιωπηλή βλάβη προώθησης με τη διεπαφή ακόμη ενεργή, και αποκατάσταση της κύριας. Για καθεμία, καταγράψτε την πηγή και το επόμενο άλμα του ανιχνευτή, την ενεργή διαδρομή προορισμού και μια φρέσκια επιτρεπόμενη ανταλλαγή εφαρμογής και προς τις δύο κατευθύνσεις.

Η σιωπηλή περίπτωση είναι αυτή που χωρίζει τους σχεδιασμούς. Αν η εφεδρεία δεν αναλάβει εκεί, έχετε χτίσει παρακολούθηση ζεύξης και όχι παρακολούθηση διαδρομής. Αποφασίστε αν αυτό είναι αποδεκτό και γράψτε τον περιορισμό εκεί όπου θα τον διαβάσει ο εφημερεύων μηχανικός. Ένα δεύτερο συνδεδεμένο τούνελ δεν είναι από μόνο του ολοκληρωμένη πολιτική εφεδρείας.