Du aktivaj IPsec-tuneloj ankoraŭ bezonas planon de revena vojo

Malfermu terminalon sur laborejo en unu loko kaj konektiĝu al servilo en la alia. Tiu ununura TCP-interparolado nun devas trapasi kvar pordegojn anstataŭ du, kaj la interesa parto ne estas, ĉu ĝi funkcias en bona tago. La interesa parto estas, kiun pordan patron la antaŭa direkto elektis, kiun patron la respondo elektas, kaj kiu tenas staton por la fluo dum tio okazas. Nenio en la enkursiga tabelo decidas tion por vi.

Desegnu kvar pordegojn antaŭ ol desegni itineron

Dufaĵa aktiva dezajno kun du sendependaj VPN-fajroŝirmiloj po loko, unu pardo po provizanto, donas al vi du uzeblajn vojojn kaj tri manierojn rompi ilin. Skribu la adresojn antaŭ ol agordi ion ajn: la klienton kiel vidite antaŭ kaj post ĉiu pordego, la servilon same, la sekvan salteton antaŭen kaj la sekvan salteton reen.

Tiu tabelo estas la dezajno. Ĉio poste estas demando, ĉu la aparatoj konsentas kun la tabelo.

Kiel la antaŭa vojo estas elektata

Tavolo de samkosta plurobla enkursigado disdonas fluojn al la sekvaj saltetoj per hakado de kaplinioj, kion RFC 2992 detale priskribas. Tiu elekto povas esti tute senstata: ĝi bezonas nenian rikordon de konekta spurado, nur stabilan hakaĵon super neŝanĝitaj kampoj. Tenu la vojaron kaj la hakajn enigojn konstantaj, kaj ĉiu pako de la fluo elektas la saman sekvan salteton.

Elekto po fluo evitas la reordigon, kiun pako-postpaka balancado kaŭzus sur ligoj kun malsamaj malfruiĝoj. Ĝi ne promesas, ke egala enkursiga kosto signifas egalan mezuritan kaŝlatenton, ĉar ĝi ne signifas. Kaj kiam la voja konsisto ŝanĝiĝas, fluoj remapiĝas, do konekta pluvivo dum paneo estas aparta postulo disde voja elekto.

Kion la revena vojo vere bezonas

Ĉi tie la promenado ĉesas esti simetria. Stabila antaŭa hakaĵo diras al vi nenion pri tio, kion la fora loko faros kun la respondo. Se sendependa fajroŝirmilo devas vidi ambaŭ direktojn de la konekto por konservi utilan staton, revena itinero, kiu preteriras ĝin, lasas trafikon kongruan kun nenio entute. Du skatoloj kun similaj regul-aroj ne estas komuna stato.

Konfirmu la efektivigitan dudirektan konduton, aŭ skribu eksplicitan politikon, kiu tenas la postulatajn limojn koheraj. Konjekto ĉi tie malkovriĝas dum paneo, fare de homoj, kiuj ne ĝuas ĝin.

Kie tradukado decidas por vi

NAT estas la alia levilo, kaj ĝi estas laŭvola prefere ol deviga. Lokaj tradukitaj identecoj povas direkti respondojn reen al la pordego tenanta la staton, kio estas legitima dezajno. Ili ankaŭ aldonas mapojn, revenajn itinerojn kaj posedanton de tiu stato, do akceptu la ŝarĝon nur por postulo, kiun vi povas eldiri laŭte.

Se la postulo simple estas, ke ambaŭ vojoj portu trafikon kaj ajna el ili postvivu perdon de provizanto, ordinara plurobla enkursigado po fluo kun kohera revena enkursigado kutime estas la pli malgranda dezajno.

Trairu la akcepton laŭorde

Testu laŭ ĉi tiu sinsekvo kaj registru la adresojn ĉe ĉiu paŝo: nova konekto sur vojo A kaj ĝia responda vojo, la samo sur vojo B, poste perdo de unu provizanto, poste restarigo. Por ĉiu rezulto, notu kiuj establitaj fluoj moviĝis, kiuj devis rekonektiĝi, kaj kien novaj fluoj iris poste. Skribu la atendatan valoron unue, poste komparu ĝin kun la kaptaĵo. Du establitaj tuneloj pruvas neniom de tio.

La dezajno estas finita, kiam la tabelo, kiun vi skribis, kongruas kun tio, kion montras la kaptaĵo, ne kiam ambaŭ tuneloj estas supren.