Δύο πύλες IPsec, χωρίς κοινή IP: τι κάνει πραγματικά η εναλλαγή σε αστοχία

Σκοτώστε την πύλη A στη μέση μιας σύσκεψης και δείτε το τούνελ να επιστρέφει μέσω της B ένα λεπτό αργότερα· η σύνδεση λειτουργεί, η βιντεοκλήση μπορεί όχι. Αυτή είναι η ειλικρινής μορφή της ψυχρής εναλλαγής σε αστοχία ανάμεσα σε δύο πύλες IPsec με ανεξάρτητες διευθύνσεις. Ο πελάτης επιλέγει ξανά ένα άκρο και χτίζει μια νέα σχέση, κάτι που αποκαθιστά την προσβασιμότητα χωρίς να μεταφέρει την κρυπτογραφική κατάσταση της παλιάς συνεδρίας. Η παρακολούθηση της ακολουθίας κάνει φανερό ποιες υποσχέσεις μπορεί να κρατήσει ο σχεδιασμός.

Στήστε τη σκηνή: δύο διευθύνσεις, καμία πλωτή IP

Η πύλη A απαντά σε μία προσβάσιμη διεύθυνση και η πύλη B σε άλλη. Ο πελάτης έχει εγκεκριμένο τρόπο να επιλέγει τη B όταν η A λείπει, και δεν υπάρχει κοινή εξωτερική διεύθυνση που διεκδικούν και οι δύο πύλες. Σε αυτόν τον σχεδιασμό, μια εικονική IP σημαίνει εκείνο το κοινό σημείο εισόδου, όχι την εσωτερική διεύθυνση που εκχωρείται σε πελάτη απομακρυσμένης πρόσβασης.

Αυτός ο ορισμός έχει σημασία γιατί οι δύο ιδέες μπερδεύονται στα δελτία, και η διόρθωση της μίας δεν είναι διόρθωση της άλλης. Μια αναφορά ότι η κοινή είσοδος δεν ακολούθησε την πύλη περιγράφει έναν σχεδιασμό. Μια αναφορά ότι ο φορητός έχασε την εσωτερική του διεύθυνση περιγράφει τη μίσθωση του πελάτη. Διαφορετικοί ιδιοκτήτες, διαφορετικά αρχεία, διαφορετικές επισκευές.

Περπατήστε την αστοχία: ανιχνεύστε, μετά επιλέξτε ξανά

Πρώτα κάτι παρατηρεί ότι η A σταμάτησε να απαντά. Μπορεί να είναι ανίχνευση νεκρού ομολόγου στο επίπεδο του τούνελ, ένα πρωτόκολλο δρομολόγησης που αποσύρει μια διαδρομή, ή ένα χρονικό όριο εφαρμογής που επιτέλους αναγκάζει επανασύνδεση. Καθένα έχει διαφορετική χρονική κλίμακα, και το πιο αργό συνήθως καθορίζει πόσο περιμένουν οι χρήστες.

Έπειτα ο πελάτης επιλέγει τη B μέσω όποιου μηχανισμού υποστηρίζει η εγκατάσταση: ένα δεύτερο ρυθμισμένο απομακρυσμένο άκρο, ένα όνομα DNS που επιλύεται σε υγιή διεύθυνση, ή δρομολόγηση που τώρα προτιμά διαφορετική διαδρομή. Η επιλογή είναι βήμα πολιτικής, και πρέπει να υπάρχει πριν από την αστοχία αλλιώς θα συμβεί τυχαία.

Τι μπορεί και τι δεν μπορεί να κληρονομήσει η B

Η B μπορεί να μοιράζεται με την A ένα πρότυπο διαμόρφωσης, μια αρχή πιστοποιητικών και μια πολιτική ταυτοποίησης. Δεν μπορεί να κληρονομήσει τις ζωντανές ενώσεις ασφάλειας. Τα κλειδιά συνεδρίας, οι δείκτες παραμέτρων ασφάλειας και η κατάσταση ακολουθίας ανήκουν στη σχέση που δημιούργησαν η A και ο πελάτης, και η B δεν έχει κανένα από αυτά.

Η μεταφορά αυτής της κατάστασης μεταξύ πυλών είναι πραγματικό πρόβλημα μηχανικής, γι' αυτό η τεκμηρίωση υψηλής διαθεσιμότητας του strongSwan το αντιμετωπίζει ως σχεδιασμό συστάδας και όχι ως σημαία διαμόρφωσης. Μια συγκεκριμένη συνταγή συστάδας δεν είναι γενική απάντηση για δίκτυο νέφους, και η αντιγραφή της χωρίς την υποστηρικτική υποδομή αγοράζει πολυπλοκότητα αντί για συνέχεια.

Εγκαθιδρύοντας μια νέα σχέση

Με τη B επιλεγμένη, ο πελάτης εκτελεί μια νέα ανταλλαγή IKE: νέες τιμές nonce, νέες τιμές Diffie-Hellman, νέα αναγνωριστικά για τις ενώσεις που προκύπτουν. Η ταυτοποίηση γίνεται ξανά στη B. Αν ο σχεδιασμός βασίζεται σε διαπιστευτήρια μηχανής, η επανασύνδεση μπορεί να είναι χωρίς επίβλεψη· αν απαιτεί ανθρώπινο παράγοντα, κάποιος πρέπει να είναι παρών για να ολοκληρωθεί η εναλλαγή.

Ορίστε αυτή την εμπειρία χρήστη πριν από τη διακοπή, όχι κατά τη διάρκειά της. Πείτε καθαρά τι θα κάνει ο πελάτης, πόσο θα προσπαθήσει και τι θα δείξει όταν παραιτηθεί, γιατί η διαφορά ανάμεσα σε ένα λεπτό επανασύνδεσης και σε κλήση υποστήριξης είναι συνήθως τεκμηρίωση και δοκιμασμένο προφίλ.

Η διατήρηση της ίδιας εσωτερικής διεύθυνσης βοηθά εφαρμογές που περιμένουν σταθερή τοπική ταυτότητα, και δεν διατηρεί τις συνεδρίες τους. Οι δεσμεύσεις NAT λήγουν, οι συνδέσεις TCP επαναφέρονται, και οτιδήποτε έχει δικό του χρονικό όριο αποφασίζει ανεξάρτητα αν θα ξαναδοκιμάσει.

Δύο τούνελ παράλληλα είναι διαφορετικός σχεδιασμός

Η λειτουργία και των δύο τούνελ ταυτόχρονα είναι έγκυρο μοτίβο όταν το υποστηρίζουν και οι δύο πύλες και ο σχεδιασμός δρομολόγησης. Τότε η επιλογή διαδρομής διαλέγει την ενεργή διαδρομή, και η διαδρομή επιστροφής πρέπει να συμφωνεί, αλλιώς η κίνηση φεύγει από τη μία πύλη και επιστρέφει από την άλλη χωρίς κατάσταση να την ταιριάξει.

Οι επικαλυπτόμενες πολιτικές τούνελ δεν δημιουργούν από μόνες τους τακτοποιημένη εναλλαγή. Δημιουργούν δύο υποψηφίους, και κάτι πρέπει να αποφασίσει μεταξύ τους ντετερμινιστικά, είτε είναι μετρική δρομολόγησης, είτε προτεραιότητα πολιτικής, είτε ρητή προτίμηση στον πελάτη.

Όποια μορφή κι αν διαλέξετε, γράψτε το συμβόλαιο: πώς ανιχνεύεται η αστοχία, πώς επιλέγεται η εναλλακτική, τι ταυτοποίηση απαιτεί και πόσο αναμένεται να διαρκέσει η επανασύνδεση. Μια κοινή IP μπορεί να απλοποιήσει την ανακάλυψη, αλλά δεν είναι συνώνυμο της συνεχούς κατάστασης, και η διαθεσιμότητα είναι σχεδιασμός έτσι κι αλλιώς.