Segundo extremo VPN: qué cubre y qué no

Dos extremos sobre el papel parecen redundancia. En la práctica, una segunda dirección solo ayuda cuando los clientes pueden alcanzarla y cuando evita el fallo para el que se prepara. Dos servidores detrás de la misma conexión de acceso, la misma cuenta o la misma red de destino fallan juntos. La pregunta útil es qué fallo único elimina el segundo extremo.

Compare qué comparten ambos extremos

Enumere qué tienen en común los dos extremos antes de contar qué duplican. La ubicación de alojamiento, la cuenta del proveedor, el tránsito ascendente, el alojamiento DNS, la fuente de identidad y el recurso privado detrás del túnel representan una dependencia compartida o una independiente. Dos máquinas virtuales en una región comparten una caída del proveedor. Dos regiones bajo una sola cuenta siguen compartiendo la relación de facturación y el plano de control que las crea.

La red de destino merece el mismo trato. Una pasarela de respaldo sana no puede restaurar un NAS que está fuera de línea, ni puede llegar a una red de oficina cuyo enlace ascendente está caído. Si ambos extremos terminan en la misma subred privada, el segundo solo añade un camino hacia un destino que ya es el único punto de fallo.

La identidad es la dependencia que la gente olvida. Clonar el certificado y la configuración en un segundo host crea dos lugares donde se puede copiar la misma credencial, y no dice nada sobre cómo llegan las revocaciones a ambos.

Decida cómo cambia un cliente

Un segundo extremo solo es útil si el cliente lo conoce y puede seleccionarlo sin llamar a soporte. Los perfiles de conexión de OpenVPN pueden llevar varias líneas remote con una política de selección, y la mayoría de los clientes ofrecen un perfil alternativo en un menú. Sea cual sea el mecanismo, anote cuál tienen sus usuarios, porque un perfil que no encuentran no es conmutación por error.

Lea la documentación del cliente sobre cambios de dirección durante una sesión. Algunas implementaciones mantienen el par original durante toda la vida del túnel y solo consultan las alternativas al reconectar. Esa distinción decide si un extremo muerto produce una interrupción breve o una sesión que nunca se recupera. Pruebe la ruta de reconexión en lugar de suponer que ocurre.

Una dirección de salida cambiada también rompe el estado de la aplicación. La conmutación por error es recuperación, y describirla como continuidad ininterrumpida crea una expectativa que el transporte no puede cumplir.

Pruebe un fallo real

Elija una caída controlada y ejecútela de principio a fin, en lugar de confiar en el documento de diseño. Detenga el extremo primario y confirme que un cliente autorizado llega a la aplicación prevista por la alternativa mientras los clientes no autorizados siguen sin poder. Anote cuánto duró el cambio y qué vio la aplicación.

dig +short vpn2.example.net
ip route get 10.20.30.41
journalctl -u openvpn@backup --since '-10 min'

El primer comando confirma que el nombre de respaldo se resuelve en algo enrutable antes de que lo necesite, y es la prueba más barata aquí. El segundo muestra qué interfaz usaría el núcleo para un destino privado una vez que la alternativa esté activa. El tercero da el registro del cliente con el par al que realmente se conectó, y es la única prueba de que el cambio ocurrió. Vigile también el comportamiento de bloqueo durante el hueco, porque una política que filtra tráfico al cambiar es peor que una interrupción corta.

Después devuelva el original y confirme si el cliente vuelve. Una reversión que ocurre por accidente es un comportamiento que nadie planificó.

Anote qué compra la segunda dirección

Resuma la cobertura en un párrafo: qué fallo elimina el segundo extremo, qué fallos comparte con el primero y de qué supuestos depende el cambio. Nombre el mecanismo del lado del cliente, así como las rutas privadas y el comportamiento DNS que deben existir en ambos sitios. Una salida pública a internet no sustituye a una pasarela privada, y un documento que las trate como intercambiables será creído. Añada la prueba de recuperación que ejecutó, con la fecha y el resultado.

La independencia de un servidor no es independencia de la cuenta compartida ni de la red de destino. El párrafo que lo dice en voz alta es lo que impide vender internamente una segunda dirección como alta disponibilidad. También dice al siguiente operador qué comprobar primero cuando la pareja falla junta.