Δεύτερο άκρο VPN: τι καλύπτει και τι όχι

Δύο άκρα στο χαρτί μοιάζουν με πλεονασμό. Στην πράξη μια δεύτερη διεύθυνση βοηθά μόνο όταν οι πελάτες μπορούν να τη φτάσουν και όταν αποφεύγει την αστοχία για την οποία προετοιμάζεστε. Δύο διακομιστές πίσω από την ίδια σύνδεση πρόσβασης, τον ίδιο λογαριασμό ή το ίδιο δίκτυο-στόχο αποτυγχάνουν μαζί. Το χρήσιμο ερώτημα είναι ποια μεμονωμένη αστοχία αφαιρεί το δεύτερο άκρο.

Συγκρίνετε τι μοιράζονται τα δύο άκρα

Καταγράψτε τι έχουν κοινό τα δύο άκρα πριν μετρήσετε τι διπλασιάζουν. Η τοποθεσία φιλοξενίας, ο λογαριασμός του παρόχου, η ανάντη διέλευση, η φιλοξενία DNS, η πηγή ταυτότητας και ο ιδιωτικός πόρος πίσω από τη σήραγγα αντιπροσωπεύουν είτε κοινή είτε ανεξάρτητη εξάρτηση. Δύο εικονικές μηχανές σε μία περιοχή μοιράζονται μια βλάβη του παρόχου. Δύο περιοχές κάτω από έναν λογαριασμό εξακολουθούν να μοιράζονται τη σχέση χρέωσης και το επίπεδο ελέγχου που τις δημιουργεί.

Το δίκτυο-στόχος αξίζει την ίδια μεταχείριση. Μια υγιής εφεδρική πύλη δεν μπορεί να επαναφέρει ένα NAS που είναι εκτός σύνδεσης, ούτε να φτάσει σε δίκτυο γραφείου του οποίου η ανάντη ζεύξη έχει πέσει. Αν και τα δύο άκρα καταλήγουν στο ίδιο ιδιωτικό υποδίκτυο, το δεύτερο προσθέτει μόνο μια διαδρομή προς έναν προορισμό που είναι ήδη το μοναδικό σημείο αστοχίας.

Η ταυτότητα είναι η εξάρτηση που ξεχνούν οι άνθρωποι. Η κλωνοποίηση του πιστοποιητικού και της διαμόρφωσης σε δεύτερο κεντρικό υπολογιστή δημιουργεί δύο σημεία όπου το ίδιο διαπιστευτήριο μπορεί να αντιγραφεί, και δεν λέει τίποτα για το πώς οι ανακλήσεις φτάνουν και στα δύο.

Αποφασίστε πώς αλλάζει ένας πελάτης

Ένα δεύτερο άκρο είναι χρήσιμο μόνο αν ο πελάτης το γνωρίζει και μπορεί να το επιλέξει χωρίς κλήση στην υποστήριξη. Τα προφίλ σύνδεσης OpenVPN μπορούν να φέρουν πολλές γραμμές remote με πολιτική επιλογής, και οι περισσότεροι πελάτες προσφέρουν εναλλακτικό προφίλ σε μενού. Όποιος κι αν είναι ο μηχανισμός, γράψτε ποιο έχουν οι χρήστες σας, γιατί ένα προφίλ που δεν βρίσκουν δεν είναι εναλλαγή.

Διαβάστε την τεκμηρίωση του πελάτη για αλλαγές διεύθυνσης κατά τη διάρκεια μιας συνεδρίας. Ορισμένες υλοποιήσεις κρατούν τον αρχικό ομότιμο για όλη τη ζωή της σήραγγας και συμβουλεύονται εναλλακτικές μόνο κατά την επανασύνδεση. Αυτή η διάκριση καθορίζει αν ένα νεκρό άκρο παράγει σύντομη διακοπή ή συνεδρία που δεν ανακάμπτει ποτέ. Δοκιμάστε τη διαδρομή επανασύνδεσης αντί να υποθέτετε ότι συμβαίνει.

Μια αλλαγμένη διεύθυνση εξόδου σπάει επίσης την κατάσταση της εφαρμογής. Η εναλλαγή είναι ανάκαμψη, και το να την περιγράφεις ως αδιάκοπη συνέχεια δημιουργεί μια προσδοκία που η μεταφορά δεν μπορεί να εκπληρώσει.

Δοκιμάστε μία πραγματική αστοχία

Διαλέξτε μία ελεγχόμενη διακοπή και εκτελέστε την από άκρη σε άκρη, αντί να εμπιστεύεστε το έγγραφο σχεδιασμού. Σταματήστε το κύριο άκρο και επιβεβαιώστε ότι ένας εξουσιοδοτημένος πελάτης φτάνει την προβλεπόμενη εφαρμογή μέσω της εναλλακτικής, ενώ οι μη εξουσιοδοτημένοι πελάτες εξακολουθούν να μην μπορούν. Καταγράψτε πόσο διήρκεσε η εναλλαγή και τι είδε η εφαρμογή.

dig +short vpn2.example.net
ip route get 10.20.30.41
journalctl -u openvpn@backup --since '-10 min'

Η πρώτη εντολή επιβεβαιώνει ότι το εφεδρικό όνομα επιλύεται σε κάτι δρομολογήσιμο πριν το χρειαστείτε, και αυτή είναι η φθηνότερη δοκιμή εδώ. Η δεύτερη δείχνει ποια διεπαφή θα χρησιμοποιούσε ο πυρήνας για έναν ιδιωτικό προορισμό μόλις ανέβει η εναλλακτική. Η τρίτη δίνει το αρχείο καταγραφής του πελάτη με το όνομα του ομοτίμου στο οποίο συνδέθηκε πραγματικά, και αυτή είναι η μόνη απόδειξη ότι η εναλλαγή συνέβη. Παρακολουθήστε και τη συμπεριφορά φραγής κατά το κενό, γιατί μια πολιτική που διαρρέει κίνηση κατά την εναλλαγή είναι χειρότερη από μια σύντομη διακοπή.

Έπειτα επαναφέρετε το αρχικό και επιβεβαιώστε αν ο πελάτης επιστρέφει. Μια επιστροφή που συμβαίνει κατά λάθος είναι συμπεριφορά που κανείς δεν σχεδίασε.

Γράψτε τι αγοράζει η δεύτερη διεύθυνση

Συνοψίστε την κάλυψη σε μία παράγραφο: ποια αστοχία αφαιρεί το δεύτερο άκρο, ποιες αστοχίες μοιράζεται με το πρώτο και σε ποιες παραδοχές βασίζεται η εναλλαγή. Ονομάστε τον μηχανισμό στην πλευρά του πελάτη καθώς και τις ιδιωτικές διαδρομές και τη συμπεριφορά DNS που πρέπει να υπάρχουν και στις δύο τοποθεσίες. Μια δημόσια έξοδος στο διαδίκτυο δεν αντικαθιστά μια ιδιωτική πύλη, και ένα έγγραφο που τις αντιμετωπίζει ως ισοδύναμες θα γίνει πιστευτό. Προσθέστε τη δοκιμή ανάκαμψης που εκτελέσατε, με την ημερομηνία και το αποτέλεσμα.

Η ανεξαρτησία από έναν διακομιστή δεν είναι ανεξαρτησία από τον κοινό λογαριασμό ή το δίκτυο-στόχο. Η παράγραφος που το λέει δυνατά είναι αυτή που εμποδίζει μια δεύτερη διεύθυνση να πωληθεί εσωτερικά ως υψηλή διαθεσιμότητα. Λέει επίσης στον επόμενο χειριστή τι να ελέγξει πρώτα όταν το ζεύγος αποτύχει μαζί.