Kuidas ehitada ruuterile VPN-i ümberlülituspoliitikat ilma leketeta

Ümberlülitus toimis täpselt nii, nagu oli seadistatud, ja just see oligi probleem. Kui peamine tunnel katkes, liigutas ruuter vaikimisi marsruudi kaabelmodemile, sülearvutid jätkasid sirvimist ja keegi ei helistanud. Kaks päeva hiljem märkas keegi, et finantsosakonna jagatud kaust oli olnud avatud interneti tee kaudu kuus tundi kättesaadav. VPN-i ümberlülituspoliitika ruuteril ei ole marsruutimise trikk; see on otsus selle kohta, mida peaks liiklus tegema, kui eelistatud tee on kadunud, ja see otsus peab olemas olema enne, kui tee kaob.

Otsustage tulemus enne, kui valite detektori

Tavaliselt on laual kolm tulemust: saata mõjutatud kliendid varutunneli kaudu, lasta neil kasutada tavalist WAN-i või need täielikult blokeerida. Kirjutage üles, milline kehtib millise VLAN-i, SSID või seadmeklassi kohta. Üks lame reegel “lülita WAN-ile” on põhjus, miks ülalmainitud finantskaust avalikule teele sattus.

Need kolm ei ole vahetatavad. WAN-i varulahendus hoiab tugiteenuse telefonidele vastamas, paljastades samal ajal kohalikule resolverile sisemised nimed. Varutunnel säilitab poliitika, kuid võib maanduda väljumisaadressil, mida teine pool ei aktsepteeri. Blokeerimine on õige palgaarvestuse VLAN-i jaoks ja vale külalisvõrgu jaoks, mis ei ole tunnelit kunagi kasutanud.

Sobitage detektor tõrkejuhuga, mida te tegelikult kardate

Käepigistuse olek, liidese olek ja kasutatav edastamine on kolm erinevat signaali ning kasutaja jaoks loeb ainult viimane. WireGuard-peer võib näidata hiljutist käepigistust, samal ajal kui teenusepakkuja ülesvool suunab paketid musta auku. OpenVPN klient võib jääda olekusse “ühendatud” pärast seda, kui tema lükatud marsruut enam ei lahene.

pfSense'is on praktiline lahendus dpingeri toidetud lüüsigrupp, mis kontrollib monitooringu aadressi ja märgib lüüsi maas olevaks, kui kadu või latentsus ületab selle lävendid. Suunake see monitooring millelegi väljapoole tunnelit, näiteks kaugema LAN-i hostile või avalikule aadressile, kuhu te selle kaudu jõuate. Selle suunamine tunnelile enda peer-aadressile mõõdab seda osa, mille kohta te juba teate, et see elab.

Ehitage grupp nii, et varulahendus jääks viimaseks abinõuks

Kasutage astmeid ühe lameda liikmeloendi asemel. Peamine astmes 1, varutunnel astmes 2, WAN astmes 3 ainult nende VLAN-ide jaoks, mille poliitika seda lubab. pfSense'is asub see jaotise System > Routing > Gateway Groups all: lisage mõlemad lüüsid, andke neile erinevad astmed, seadke Trigger Level väärtusele member down plus packet loss, salvestage ja rakendage seejärel grupp liidese vaikeväärtusena või nende tulemüürireeglite Gateway-väljal, mis seda vajavad.

OpenVPN-i kliendiinstantsi puhul pfSense'is 2.5 ja uuemates otsustab instantsi Default Gateway seade, kas tunnel üldse asendab süsteemi vaikimisi marsruudi. Reeglipõhine poliitikamarsruutimine käitub ootuspäraselt ainult siis, kui marsruut, mida te eeldate, on tegelikult paigaldatud. Pärast muudatust kontrollige Status > Gateways, selle asemel et usaldada tunneli olekuikooni.

Kaks seadet põhjustavad suurema osa värelusest. Üks on sondiintervall, mis on lühem kui teenusepakkuja enda taaskoondumine. Teine on grupp, kus peamine ja varu jagavad astet, nii et mõlemad jäävad kogu aeg kõlblikuks. Lisage hüsterees kadu- ja latentsuslävendite kaudu enne, kui teie kasutajad tunnevad üleminekuid teie eest.

Sulgege teed, mida tunnel kunagi ei omanud

Kõigepealt DNS-i lekked. Resolver jätkab WAN-il vastamist ja edastab sealt välja, nii et nimed lahenevad edasi ISP kaudu, samal ajal kui liiklus on tunneliga seotud. Piirake resolveri väljuvaid liideseid, lükake sisemine resolver klientidele ja blokeerige port 53 kõige muu jaoks ainult-VPN VLAN-idel.

IPv6 vajab oma otsust. Kahevirnaline LAN võib kaotada tunneli ja säilitada toimiva globaalse IPv6 vaikimisi marsruudi, nii et brauserid eelistavad IPv6-t ja väljuvad WAN-i kaudu, samal ajal kui IPv4 näib täiesti piiratud. Kas marsruutige IPv6 tunnelisse või lõpetage globaalse prefiksi kuulutamine, kui tunnel on maas. Pool poliitikat on hullem kui mitte ühtegi, sest see näib töötavat.

Seejärel tagasitee. Kui varuväljumine kasutab teistsugust lähteaadressi, peab teine pool teadma, kuidas liiklust sinna tagasi saata, ja iga vana aadressiga seotud olek on juba surnud. Sessioonid, mis olid avatud peamise kukkumise ajal, ei migreeru; need jäävad seisma, kuni aegub, ja rakendus otsustab, mida sellega teha.

Testige kukkumist, värelust ja teed tagasi

Tõmmake peamine välja kahjutu liikluse ajal, seejärel lugege nelja asja: Status > Gateways grupi liikmete olekute jaoks, pfctl -ss vana lüüsiga seotud olekute jaoks, traceroute kliendist väljumistee jaoks ja resolveri päring, et näha, milline server vastas.

Nüüd laske sellel väreleda. Tõstke peamine kolmkümmend sekundit üles, kolmkümmend alla, kaks korda. Kui liiklus jälitab iga üleminekut, on lävendid liiga pingul või astmed valed. Parandage see oma ajakavas, sest muidu teeb teenusepakkuja seda omas.

Lõpuks kinnitage, et saate ruuterit ikka veel hallata. Hoidke ribavälist teed, näiteks konsoolikaablit, haldus-VLAN-i või mobiilimodemit. Ümberlülitustest, mis teid välja lukustab, on test, mida te ei saa lõpetada, ja kättesaamatu ruuter ei saa ise tagasi lülituda.

Enne kui kuulutate poliitika valmis, peaksite suutma vastata neljale küsimusele terminali avamata: millised VLAN-id tohivad WAN-i kasutada, kui tunnel on maas, mida detektor jälgib ja kui kaua ootab, millised nimeserverid ja IPv6-marsruudid liiguvad koos teega, ja kuidas te tagasi sisse saate, kui ka varu ebaõnnestub. Kui mõni vastus on “mis iganes vaikeväärtus oli”, kuulub poliitika endiselt ruuterile, mitte teile.