Du IPsec-pordegoj, neniu komuna IP: kion vere faras la transiro al rezervo

Mortigu pordegon A dum kunveno kaj rigardu, kiel la tunelo revenas tra B unu minuton poste; la konekto funkcias, la videovoko eble ne. Tio estas la honesta formo de malvarma transiro al rezervo inter du IPsec-pordegoj kun sendependaj adresoj. La kliento reelektas finpunkton kaj konstruas novan rilaton, kio restarigas atingeblon sen transdoni la kriptografian staton de la malnova sesio. Trapasi la sinsekvon klare montras, kiujn promesojn la dezajno povas plenumi.

Starigu la scenon: du adresoj, neniu flosanta IP

Pordego A respondas ĉe unu atingebla adreso kaj pordego B ĉe alia. La kliento havas aprobitan manieron elekti B kiam A mankas, kaj ne ekzistas komuna ekstera adreso, kiun ambaŭ pordegoj postulas. En ĉi tiu dezajno, virtuala IP signifas tiun komunan enirpunkton, ne la internan adreson atribuitan al kliento de fora aliro.

Tiu difino gravas, ĉar la du ideoj miksiĝas en biletoj, kaj la riparo de unu ne estas la riparo de la alia. Raporto, ke la komuna enirejo ne sekvis la pordegon, priskribas unu dezajnon. Raporto, ke la tekkomputilo perdis sian internan adreson, priskribas la luon de la kliento. Malsamaj posedantoj, malsamaj protokoloj, malsamaj riparoj.

Trapasu la paneon: detekti, poste reelekti

Unue io rimarkas, ke A ĉesis respondi. Tio povas esti detekto de mortinta samtavolano ĉe la tunela tavolo, enkursiga protokolo retiranta vojon, aŭ aplika tempolimo, kiu finfine devigas rekonekton. Ĉiu havas malsaman temposkalon, kaj la plej malrapida kutime difinas, kiom longe uzantoj atendas.

Poste la kliento elektas B per kiu ajn mekanismo la deplojo subtenas: dua agordita fora punkto, DNS-nomo solvita al sana adreso, aŭ enkursigado, kiu nun preferas alian vojon. Elekto estas politika paŝo, kaj ĝi devas ekzisti antaŭ la paneo, alie ĝi okazos hazarde.

Kion B povas kaj ne povas heredi

B povas kunhavi kun A agordan ŝablonon, atestan aŭtoritaton kaj aŭtentigan politikon. Ĝi ne povas heredi la vivajn sekurecajn asociojn. Sesioŝlosiloj, indeksoj de sekurecaj parametroj kaj sinsekva stato apartenas al la rilato, kiun A kaj la kliento establis, kaj B havas neniun el ili.

Translokigi tiun staton inter pordegoj estas vera inĝeniera problemo, tial la dokumentaro de strongSwan pri alta havebleco traktas ĝin kiel klusteran dezajnon, ne kiel agordan flagon. Konkreta klustera recepto ne estas ĝenerala respondo por nuba reto, kaj kopii ĝin sen la subtena infrastrukturo aĉetas kompleksecon anstataŭ kontinuecon.

Establi freŝan rilaton

Kun B elektita, la kliento faras novan IKE-interŝanĝon: novaj nonce-valoroj, novaj Diffie-Hellman-valoroj, novaj identigiloj por la rezultaj asocioj. Aŭtentigo okazas denove ĉe B. Se la dezajno fidulas al maŝinaj akreditaĵoj, la rekonekto povas esti sensuperviza; se ĝi postulas homan faktoron, iu devas esti ĉeestanta, por ke la transiro finiĝu.

Difinu tiun uzantan sperton antaŭ la interrompo, ne dum ĝi. Diru klare, kion la kliento faros, kiom longe ĝi provos kaj kion ĝi montros, kiam ĝi rezignos, ĉar la diferenco inter minuto da rekonekto kaj subtena voko kutime estas dokumentaro kaj elprovita profilo.

Konservi la saman internan adreson helpas aplikaĵojn, kiuj atendas stabilan lokan identecon, kaj ĝi ne konservas iliajn sesiojn. NAT-ligoj eksvalidiĝas, TCP-konektoj restariĝas, kaj io ajn kun sia propra tempolimo sendepende decidas, ĉu reprovi.

Du tuneloj paralele estas alia dezajno

Funkciigi ambaŭ tunelojn samtempe estas valida ŝablono, kiam ambaŭ pordegoj kaj la enkursiga dezajno subtenas ĝin. Tiam la voj-elekto elektas la aktivan vojon, kaj la revena vojo devas kongrui, alie trafiko forlasas tra unu pordego kaj revenas tra la alia sen stato, kiu parigus ĝin.

Interkovrantaj tunelaj politikoj ne kreas ordan transiron per si mem. Ili kreas du kandidatojn, kaj io devas determini inter ili, ĉu enkursiga metriko, politika prioritato aŭ eksplicita prefero en la kliento.

Kiun ajn formon vi elektos, skribu la kontrakton: kiel la paneo estas detektata, kiel la alternativo estas elektata, kiun aŭtentigon ĝi postulas kaj kiom longe la rekonekto atendiĝas. Komuna IP povas simpligi malkovron, sed ĝi ne estas sinonimo de daŭra stato, kaj havebleco estas dezajno ĉiukaze.