Η δεύτερη καταχώριση VPN WAN αποτυγχάνει ενώ η κύρια εξακολουθεί να λειτουργεί

Η κύρια σήραγγα παραμένει ενεργή, οι χρήστες συνεχίζουν να εργάζονται και το δεύτερο κύκλωμα ISP κάθεται αδρανές ό,τι κι αν αλλάξετε. Δημοσιεύσατε μια διεύθυνση για το εφεδρικό κύκλωμα, δείξατε ένα όνομα προς αυτήν, ίσως προσθέσατε μια εφεδρική καταχώριση στον πελάτη, και ο πελάτης είτε δεν τη δοκιμάζει ποτέ είτε ταυτοποιείται και μετά πεθαίνει. Στις περιπτώσεις που έχω παρακολουθήσει, η λειτουργία failover ήταν συνήθως εντάξει· αυτό που έλειπε ήταν ένα από τα πέντε πράγματα που κάνουν μια καταχώριση χρησιμοποιήσιμη. Ένα όνομα μπορεί να επιλύεται στην εφεδρική διεύθυνση ενώ τίποτα δεν ακούει σε εκείνη τη διεπαφή, και ένας ακροατής μπορεί να δεχτεί σύνδεση ενώ η απάντηση φεύγει από την κύρια. Αντιμετωπίστε κάθε WAN ως ξεχωριστή καταχώριση με δικό της συμβόλαιο και η αποτυχία παύει να μοιάζει με σφάλμα του πελάτη.

Κάθε WAN χρειάζεται το δικό του συμβόλαιο καταχώρισης

Καταγράψτε πέντε πεδία ανά WAN: το δημόσιο όνομα και τη διεύθυνση, τη μεταφορά και τη θύρα, τη διεπαφή ή το περιβάλλον που την τερματίζει, την ταυτότητα του ομοτίμου που πρέπει να παρουσιάσει και από πού φεύγει η απάντηση. Δύο κυκλώματα σημαίνουν δύο πλήρη σύνολα. Αν το δεύτερο σύνολο δεν έχει διεπαφή τερματισμού ή διαδρομή επιστροφής, δεν έχετε εφεδρική καταχώριση· έχετε μια εγγραφή DNS που περιγράφει μια πρόθεση.

Η συσκευή και η έκδοσή της πρέπει επίσης να υποστηρίζουν τη διάταξη. Μια εγγραφή DNS δεν μπορεί να ανοίξει υπηρεσία σε άλλη διεπαφή, και σε πολλές πλατφόρμες ο ακροατής ρυθμίζεται ανά διεύθυνση και όχι ανά συσκευή. Το IPsec που βασίζεται σε διεπαφή σε μια ASA δένει κρυπτοχάρτες και ομάδες σήραγγας με την εξωτερική διεπαφή, οπότε ένα δεύτερο uplink χρειάζεται πολιτική εκεί όπου φτάνουν πραγματικά αυτά τα πακέτα. Τα σχέδια που βασίζονται σε δρομολόγηση συμπεριφέρονται διαφορετικά: ο ακροατής μπορεί να δεθεί σε κάθε διεύθυνση ή σε μία ονομασμένη διεύθυνση, και αυτή η επιλογή καθορίζει αν ο ISP B μπορεί να απαντήσει καθόλου.

Ελέγξτε ότι το δεύτερο WAN απαντά πραγματικά

Δοκιμάστε από έξω και από τα δύο κυκλώματα, όχι από μηχάνημα πίσω από την πύλη, και δοκιμάστε το ακριβές όνομα που χρησιμοποιεί το προφίλ του πελάτη. Για ακροατή TLS, ο γρήγορος έλεγχος είναι openssl s_client -connect ADDRESS:443 -servername vpn.example.com -showcerts εκτελεσμένος από κεντρικό υπολογιστή εκτός του δικτύου σας. Θέλετε μια ολοκληρωμένη χειραψία της οποίας η αλυσίδα ταιριάζει με το όνομα στο προφίλ, όχι απλώς μια θύρα TCP που δέχεται σύνδεση.

RFC 9525 εξηγεί τι ελέγχει ο πελάτης: την ταυτότητα που σκόπευε να φτάσει, σε σύγκριση με το πιστοποιητικό που παρουσιάζει η υπηρεσία. Μια δεύτερη καταχώριση που επιστρέφει το πιστοποιητικό της κύριας καταχώρισης, ή ένα προεπιλεγμένο πιστοποιητικό που δεν αναφέρει κανένα από τα ονόματα, αποτυγχάνει σε αυτή τη δοκιμή παρότι η θύρα είναι ανοιχτή και το τείχος προστασίας το επιτρέπει.

Δύο μοτίβα εξηγούν τις περισσότερες αποτυχίες εδώ. Μια σύνδεση που κολλάει συνήθως σημαίνει ότι δεν υπάρχει ακροατής σε εκείνη τη διεπαφή, ένας κανόνας πρόσβασης που επιτρέπει μόνο τα κύρια υποδίκτυα, ή μια συσκευή παρόχου μπροστά από το δεύτερο κύκλωμα που ρίχνει τη θύρα. Μια χειραψία που τελειώνει με λάθος ταυτότητα συνήθως σημαίνει άλλο trustpoint, προεπιλεγμένο εικονικό κεντρικό υπολογιστή, ή ρύθμιση αντιγραμμένη από την κύρια χωρίς προσαρμογή της ταυτότητας.

Ακολουθήστε την απάντηση, όχι μόνο το αίτημα

Το δεύτερο WAN σπάει συνήθως στην επιστροφή. Ένα αίτημα φτάνει μέσω του ISP B, η συσκευή απαντά, και η απάντηση φεύγει μέσω της προεπιλεγμένης διαδρομής στον ISP A με διεύθυνση προέλευσης που ο πελάτης δεν ζήτησε ποτέ. Η μετατροπή με κατάσταση το χειροτερεύει: αν η αντιστοίχιση χτίστηκε για την κύρια διεπαφή, το πακέτο επιστροφής χάνει τη μετατροπή ή φέρει προέλευση που το τείχος προστασίας του πελάτη πετά. Οι πάροχοι επίσης πετούν διευθύνσεις προέλευσης που δεν ανήκουν στο κύκλωμα που σας έδωσαν, γι' αυτό μοιάζει με μονόδρομη μαύρη τρύπα αντί για καθαρό σφάλμα πρωτοκόλλου.

Ελέγξτε την απόφαση δρομολόγησης για κίνηση που προέρχεται από τη δεύτερη καταχώριση. Η απάντηση πρέπει να φεύγει από τη διεπαφή στην οποία έφτασε το αίτημα, ή τουλάχιστον να φέρει διεύθυνση που η μακρινή πλευρά δέχεται ως ανήκουσα σε εκείνη τη διαδρομή. Σε πλατφόρμες δρομολόγησης βάσει πολιτικής αυτό σημαίνει κανόνα δεμένο με την εισερχόμενη διεπαφή ή τη μεταφρασμένη προέλευση, συν μια δήλωση μετατροπής δεμένη σε κάθε εξωτερική διεπαφή. Καταγράψτε ταυτόχρονα και στις δύο διεπαφές όσο ο πελάτης συνδέεται· ένα SYN που φτάνει στον ISP B με το SYN-ACK να φεύγει στον ISP A λύνει το ζήτημα σε ένα πέρασμα.

Δώστε στον πελάτη τρόπο να μάθει για τη δεύτερη καταχώριση

Το failover είναι απόφαση της πλευράς του πελάτη, και κάθε οικογένεια πελατών μαθαίνει τις εναλλακτικές με διαφορετικό τρόπο. Σε μια ASA, η λίστα εφεδρικών διακομιστών παραδίδεται μέσω των χαρακτηριστικών webvpn της πολιτικής ομάδας, ενώ άλλοι πελάτες περιμένουν λίστα μέσα στο προφίλ ή χειροκίνητο δεύτερο προφίλ που επιλέγει ο χρήστης. Ο οδηγός πολιτικής σύνδεσης της Cisco περιγράφει τόσο πληροφορίες που ρυθμίζονται στον πελάτη όσο και πληροφορίες που παρέχει η πύλη, και αυτές οι λεπτομέρειες ειδικές για το πρωτόκολλο δεν πρέπει να γενικεύονται σε κάθε πελάτη ή λειτουργία σήραγγας. Επιβεβαιώστε ποιον μηχανισμό υλοποιεί ο αναπτυγμένος πελάτης πριν χτίσετε τη δεύτερη καταχώριση γύρω από λάθος μηχανισμό.

Όποιος κι αν είναι ο μηχανισμός, ο πελάτης πρέπει να μπορεί να επιλύσει το εναλλακτικό όνομα πριν χάσει την κύρια διαδρομή. Αυτή την εξάρτηση χάνουν οι άνθρωποι: αν το εφεδρικό όνομα το απαντά επιλυτής προσβάσιμος μόνο μέσω της σήραγγας που μόλις απέτυχε, η εφεδρεία δεν μπορεί καν να ξεκινήσει. Δημοσιεύστε το δεύτερο όνομα σε επιλυτή που απαντά τοπικά ή μέσω διαδικτύου. Περιμένετε νέα ταυτοποίηση και νέα συνεδρία εφαρμογής μετά τη μετακίνηση, γιατί το failover του πελάτη δεν είναι failover με κατάσταση και οι μακρόβιες συνεδρίες δεν το επιβιώνουν.

Μία διεύθυνση σε δύο παρόχους είναι άλλο προϊόν

Το να κρατάτε μία δημόσια διεύθυνση προσβάσιμη και από τα δύο κυκλώματα είναι υπηρεσία δρομολόγησης, όχι κουτάκι στο VPN. Χρειάζεται χώρο διευθύνσεων που και οι δύο πάροχοι δέχονται να μεταφέρουν, ανακοινωμένο με τρόπο που τα δίκτυά τους αποδέχονται, και αυτό το δίνει το multihoming με χώρο ανεξάρτητο από τον πάροχο και BGP. Το να δώσετε τη διεύθυνση του ISP A στη διεπαφή του ISP B δεν φτάνει εκεί· το πακέτο φτάνει σε δίκτυο που δεν ανακοίνωσε ποτέ το πρόθεμα και απορρίπτεται ανάντη.

Δεν χρειάζεστε τίποτα από αυτά για να δημοσιεύσετε δύο καταχωρίσεις. Αν ο πελάτης μπορεί να κρατήσει δύο ονόματα και να εναλλάσσεται μεταξύ τους, δύο ανεξάρτητες καταχωρίσεις αρκούν, και αποφεύγετε αριθμό AS, συμφωνία peering και πρόθεμα που πρέπει να γίνει δεκτό παντού. Εξετάστε την επιλογή φορητής διεύθυνσης μόνο όταν χρειάζεστε πραγματικά ένα σταθερό σημείο εισόδου που οι πελάτες δεν μπορούν να επαναρυθμιστούν για να αντικαταστήσουν, ή όταν το failover βάσει DNS με την καθυστέρηση TTL είναι πολύ αργό για τη διακοπή απέναντι στην οποία σχεδιάζετε.

Τι να ελέγξετε μετά

Δουλέψτε προς τα έξω από την καταχώριση που αποτυγχάνει με αυτή τη σειρά: απαντά η δεύτερη διεύθυνση από έξω, παρουσιάζει την ταυτότητα που περιμένει ο πελάτης, φεύγει η απάντηση από τον δρόμο που ήρθε το αίτημα, και μπορεί ο πελάτης να μάθει το όνομα πριν το χρειαστεί. Όπου η απάντηση είναι όχι, διορθώστε αυτό το επίπεδο και δοκιμάστε ξανά με το αναπτυγμένο προφίλ και όχι με δοκιμαστικό κεντρικό υπολογιστή, γιατί μια χειραψία από το εργαστήριο αποδεικνύει λιγότερα από μια ολοκληρωμένη σύνδεση του πραγματικού πελάτη.

Κρατάτε μια σύντομη καταγραφή ανά WAN με διεύθυνση, θύρα, διεπαφή τερματισμού, όνομα πιστοποιητικού, διαδρομή επιστροφής και κανόνα μετατροπής, και ελέγχετέ την ξανά όποτε αλλάζει κύκλωμα, συσκευή NAT ή έκδοση πελάτη. Οι αδρανείς εφεδρικές διαδρομές σαπίζουν σιωπηλά: τίποτα δεν προειδοποιεί για την καταχώριση που κανείς δεν χρησιμοποιεί μέχρι την ημέρα που όλοι εξαρτώνται από αυτήν.