Μετάβαση VPN σε εφεδρεία: όταν η διαδρομή επιστροφής μένει στο παλιό τούνελ

Το εφεδρικό τούνελ ανεβαίνει, το κύριο πέφτει και η εφαρμογή εξακολουθεί να λήγει σε χρονικό όριο. Και στις δύο τοποθεσίες η κατάσταση του τούνελ φαίνεται υγιής, και αυτό ακριβώς μπερδεύει. Μια μετάβαση που μεταφέρει τα αιτήματα στην εφεδρεία αλλά αφήνει τις απαντήσεις στην παλιά διαδρομή δεν είναι μετάβαση. Ο οδηγός παρακάτω ελέγχει τη διαδρομή επιστροφής, όχι μόνο τη χειραψία.

Καταγράψτε πρώτα τις διαδρομές στα δύο άκρα, γιατί μια εικόνα από μία τοποθεσία δεν μπορεί να δείξει ασύμμετρη διαδρομή. Είναι επίσης το βήμα που παραλείπεται πιο συχνά υπό πίεση χρόνου.

Καταγράψτε τις διαδρομές των δύο τοποθεσιών πριν τη δοκιμή

Για κάθε προστατευμένο πρόθεμα, γράψτε την κύρια διαδρομή, την εφεδρική διαδρομή και την προτίμηση που επιλέγει μεταξύ τους. Συμπεριλάβετε την πύλη LAN πίσω από κάθε άκρο VPN, γιατί το άκρο σπάνια είναι το τελευταίο άλμα.

Οι στατικές μετρικές, οι παρακολουθούμενες διαδρομές και η δυναμική δρομολόγηση εκφράζουν την καταλληλότητα με διαφορετικούς τρόπους. Μάθετε ποια χρησιμοποιεί ο σχεδιασμός σας και τι απαιτείται για να γίνει ενεργή η εναλλακτική. Γράψτε τη συνθήκη δίπλα στη διαδρομή, για παράδειγμα χαμηλότερη μετρική μέχρι να αποτύχει ο έλεγχος.

Κάντε το και στις δύο τοποθεσίες. Μια εφεδρεία που προτιμάται στη μία πλευρά και αγνοείται στην άλλη παράγει ακριβώς την ασυμμετρία που προσπαθείτε να αποφύγετε.

Παρατηρήστε αιτήματα και απαντήσεις σε κάθε φάση

Χρησιμοποιήστε μια ακίνδυνη επιτρεπόμενη εφαρμογή και παρατηρήστε τρεις φάσεις: κανονική, αποτυχία του κύριου και αποκατάσταση. Σε κάθε φάση, καταγράψτε ποιο τούνελ μεταφέρει το αίτημα και ποιο την απάντηση. Μια προσβάσιμη διεύθυνση ομολόγου δεν αποδεικνύει ότι η προστατευμένη διαδρομή της εφαρμογής λειτουργεί. Καταγράψτε και στις δύο τοποθεσίες ώστε να φαίνεται η μονόδρομη ροή.

Αν τα αιτήματα μετακινούνται και οι απαντήσεις όχι, ελέγξτε τη διαδρομή της απομακρυσμένης τοποθεσίας προς το πρόθεμα του πελάτη και την προτίμησή της για την εφεδρεία. Αυτό είναι απόφαση δρομολόγησης, όχι αποτυχία τούνελ.

Επαναφέρετε την αρχική συνθήκη μετά τη δοκιμή και επιβεβαιώστε ότι το κύριο προτιμάται ξανά. Ένα κύριο που επανήλθε χωρίς να προτιμάται είναι σχεδιασμός μετάβασης που δεν έχει ολοκληρωθεί.

Διαχειριστείτε την κατάσταση συνεδρίας όταν αλλάζει η πύλη

Τα τείχη προστασίας και το NAT μπορούν να κρατούν κατάσταση σύνδεσης σε μία πύλη, και η αλλαγή διαδρομής σε άλλη πύλη δεν τη μεταφέρει. Ορισμένες εφαρμογές επανασυνδέονται μόνες τους, άλλες αποτυγχάνουν μέχρι να αποκατασταθεί η συνεδρία. Αν η εφεδρεία αλλάζει τη δημόσια πηγή ή τη μεταφρασμένη ιδιωτική διεύθυνση, μπορεί να αντιδράσουν και οι κανόνες απομακρυσμένης πρόσβασης. Τεκμηριώστε κάθε αναμενόμενη επανεκκίνηση συνεδρίας αντί να υπόσχεστε μετάβαση χωρίς διακοπή.

Διατηρήστε σταθερή διευθυνσιοδότηση όπου το απαιτεί η εφαρμογή. Ένας σχεδιασμός μετάβασης που αλλάζει τη διεύθυνση πηγής για κάθε συνεδρία είναι επιλογή σχεδίασης και πρέπει να καταγραφεί. Αυτή η επιλογή καθορίζει πόσο από τη διακοπή αντιλαμβάνονται πραγματικά οι χρήστες.

Δοκιμάστε μια εφαρμογή που κρατά μεγάλη συνεδρία, όχι μόνο ένα νέο αίτημα.

Επαναφέρετε το κύριο και ελέγξτε για ταλάντωση

Επιβεβαιώστε ότι οι ανακοινώσεις διαδρομών ή οι προτιμήσεις σταθεροποιούνται χωρίς ταλάντωση. Ένα κύριο που ταλαντώνεται μπορεί να είναι πιο ενοχλητικό από μια καθαρή διακοπή, γιατί κάθε μετάβαση επαναφέρει την κατάσταση.

Κρατήστε τη διαχείριση της πύλης προσβάσιμη μέσω διαδρομής ανάκτησης, ώστε η ίδια η δοκιμή να μη σας κλειδώσει έξω. Καταγράψτε τις φάσεις, τις διαδρομές που παρατηρήθηκαν και τον χρόνο ανάκτησης, γιατί αυτό το αρχείο κάνει την επόμενη μετάβαση προβλέψιμη. Οι σημειώσεις της strongSwan για την προώθηση είναι χρήσιμες όταν τα άκρα είναι υπολογιστές Linux.