Δύο ενεργές σήραγγες IPsec χρειάζονται ακόμη σχέδιο επιστροφής

Ανοίξτε ένα τερματικό σε έναν σταθμό εργασίας στη μία τοποθεσία και συνδεθείτε σε έναν διακομιστή στην άλλη. Αυτή η μία συνομιλία TCP πρέπει τώρα να διασχίσει τέσσερις πύλες αντί για δύο, και το ενδιαφέρον δεν είναι αν λειτουργεί σε μια καλή μέρα. Το ενδιαφέρον είναι ποιο ζεύγος πυλών επέλεξε η κατεύθυνση προς τα εμπρός, ποιο ζεύγος επιλέγει η απάντηση, και ποιος κρατά την κατάσταση για τη ροή όσο συμβαίνει αυτό. Τίποτα στον πίνακα δρομολόγησης δεν το αποφασίζει για εσάς.

Σχεδιάστε τέσσερις πύλες πριν σχεδιάσετε μια διαδρομή

Ένας διπλά ενεργός σχεδιασμός με δύο ανεξάρτητα τείχη προστασίας VPN ανά τοποθεσία, ένα ζεύγος ανά πάροχο, σας δίνει δύο χρησιμοποιήσιμες διαδρομές και τρεις τρόπους να τις σπάσετε. Γράψτε τις διευθύνσεις πριν ρυθμίσετε οτιδήποτε: τον πελάτη όπως φαίνεται πριν και μετά από κάθε πύλη, τον διακομιστή επίσης, το επόμενο άλμα προς τα εμπρός και το επόμενο άλμα προς τα πίσω.

Αυτός ο πίνακας είναι ο σχεδιασμός. Όλα μετά από αυτόν είναι ερώτημα αν οι συσκευές συμφωνούν με τον πίνακα.

Πώς επιλέγεται η διαδρομή προς τα εμπρός

Ένα επίπεδο δρομολόγησης πολλαπλών διαδρομών ίσου κόστους κατανέμει τις ροές στα επόμενα άλματα με κατακερματισμό πεδίων κεφαλίδας, κάτι που περιγράφει λεπτομερώς το RFC 2992. Αυτή η επιλογή μπορεί να είναι εντελώς χωρίς κατάσταση: δεν χρειάζεται καταχώριση παρακολούθησης σύνδεσης, μόνο έναν σταθερό κατακερματισμό σε αμετάβλητα πεδία. Κρατήστε το σύνολο διαδρομών και τις εισόδους κατακερματισμού σταθερά και κάθε πακέτο της ροής επιλέγει το ίδιο επόμενο άλμα.

Η επιλογή ανά ροή αποφεύγει την αναδιάταξη που θα προκαλούσε η εξισορρόπηση πακέτο-πακέτο σε ζεύξεις με διαφορετικές καθυστερήσεις. Δεν υπόσχεται ότι ίσο κόστος δρομολόγησης σημαίνει ίση μετρημένη καθυστέρηση, διότι δεν σημαίνει. Και όταν αλλάζει η σύνθεση των διαδρομών, οι ροές επαναχαρτογραφούνται, οπότε η επιβίωση σύνδεσης κατά τη διάρκεια βλάβης είναι ξεχωριστή απαίτηση από την επιλογή διαδρομής.

Τι χρειάζεται πραγματικά η διαδρομή επιστροφής

Εδώ η περιήγηση παύει να είναι συμμετρική. Ένας σταθερός κατακερματισμός προς τα εμπρός δεν σας λέει τίποτα για το τι θα κάνει η απομακρυσμένη τοποθεσία με την απάντηση. Αν ένα ανεξάρτητο τείχος προστασίας πρέπει να βλέπει και τις δύο κατευθύνσεις της σύνδεσης για να διατηρεί χρήσιμη κατάσταση, μια διαδρομή επιστροφής που το παρακάμπτει αφήνει κίνηση που δεν ταιριάζει με τίποτα. Δύο κουτιά με παρόμοια σύνολα κανόνων δεν είναι κοινή κατάσταση.

Επιβεβαιώστε την υλοποιημένη αμφίδρομη συμπεριφορά, ή γράψτε ρητή πολιτική που κρατά τα απαιτούμενα όρια συνεκτικά. Μια εικασία εδώ ανακαλύπτεται κατά τη διάρκεια διακοπής, από ανθρώπους που δεν το απολαμβάνουν.

Όπου η μετάφραση αποφασίζει για εσάς

Το NAT είναι ο άλλος μοχλός, και είναι προαιρετικό και όχι υποχρεωτικό. Οι μεταφρασμένες ταυτότητες ανά διαδρομή μπορούν να κατευθύνουν τις απαντήσεις πίσω στην πύλη που κρατά την κατάσταση, κάτι που είναι νόμιμος σχεδιασμός. Προσθέτουν όμως αντιστοιχίσεις, διαδρομές επιστροφής και έναν ιδιοκτήτη αυτής της κατάστασης, οπότε δεχτείτε το βάρος μόνο για μια απαίτηση που μπορείτε να ονομάσετε φωναχτά.

Αν η απαίτηση είναι απλώς να μεταφέρουν και οι δύο διαδρομές κίνηση και οποιαδήποτε να επιβιώνει από απώλεια παρόχου, η απλή πολλαπλή διαδρομή ανά ροή με συνεκτική δρομολόγηση επιστροφής είναι συνήθως ο μικρότερος σχεδιασμός.

Διαβείτε την αποδοχή με τη σειρά

Δοκιμάστε με αυτή τη σειρά και καταγράψτε τις διευθύνσεις σε κάθε βήμα: μια νέα σύνδεση στη διαδρομή A και η διαδρομή απάντησής της, το ίδιο στη διαδρομή B, μετά απώλεια ενός παρόχου, μετά αποκατάσταση. Για κάθε αποτέλεσμα, σημειώστε ποιες εδραιωμένες ροές μετακινήθηκαν, ποιες έπρεπε να επανασυνδεθούν και πού πήγαν οι νέες ροές μετά. Γράψτε πρώτα την αναμενόμενη τιμή και μετά συγκρίνετέ την με τη σύλληψη. Δύο εδραιωμένες σήραγγες δεν αποδεικνύουν τίποτα από αυτά.

Ο σχεδιασμός τελειώνει όταν ο πίνακας που γράψατε ταιριάζει με αυτό που δείχνει η σύλληψη, όχι όταν και οι δύο σήραγγες είναι ενεργές.