Teine VPN-i lõpp-punkt: mida see katab ja mida mitte

Kaks lõpp-punkti paberil näevad välja nagu varundus. Praktikas aitab teine aadress ainult siis, kui kliendid saavad sellele ligi ja kui see väldib riket, milleks te valmistute. Kaks serverit sama juurdepääsuühenduse, sama konto või sama sihtvõrgu taga kukuvad koos. Kasulik küsimus on, millise üksiku rikke teine lõpp-punkt kõrvaldab.

Võrrelge, mida mõlemad lõpp-punktid jagavad

Loetlege, mis on kahel lõpp-punktil ühist, enne kui loendate, mida need dubleerivad. Majutuse asukoht, teenusepakkuja konto, ülesvoolu transit, DNS-majutus, identiteedi allikas ja tunnelitagune privaatne ressurss esindavad kas jagatud või sõltumatut sõltuvust. Kaks virtuaalmasinat ühes regioonis jagavad teenusepakkuja katkestust. Kaks regiooni ühe konto all jagavad endiselt arveldussuhet ja juhtimistasandit, mis need loob.

Sihtvõrk väärib sama kohtlemist. Terve varulüüs ei saa taastada võrguühenduseta NAS-i ega jõuda kontorivõrku, mille ülesvoolu link on maas. Kui mõlemad lõpp-punktid lõpevad samas privaatses alamvõrgus, lisab teine ainult tee sihtkohta, mis on juba ainus rikkepunkt.

Identiteet on sõltuvus, mille inimesed unustavad. Sertifikaadi ja konfiguratsiooni kloonimine teise hosti loob kaks kohta, kus sama mandaati saab kopeerida, ja ei ütle midagi selle kohta, kuidas tühistamised mõlemasse jõuavad.

Otsustage, kuidas klient lülitub

Teine lõpp-punkt on kasulik ainult siis, kui klient teab sellest ja saab selle valida ilma tugiteenusesse helistamata. OpenVPN-i ühendusprofiilid võivad kanda mitut remote rida valikupoliitikaga ja enamik kliente pakub menüüs alternatiivset profiili. Ükskõik milline mehhanism on, kirjutage üles, milline teie kasutajatel on, sest profiil, mida nad ei leia, ei ole ümberlülitus.

Lugege kliendi dokumentatsiooni aadressimuudatuste kohta seansi ajal. Mõned teostused hoiavad algset partnerit kogu tunneli eluea jooksul ja konsulteerivad alternatiividega alles uuesti ühendumisel. See erinevus otsustab, kas surnud lõpp-punkt tekitab lühikese katkestuse või seansi, mis ei taastu kunagi. Testige taasühendumise teed, selle asemel et eeldada, et see juhtub.

Muutunud väljumisaadress rikub ka rakenduse olekut. Ümberlülitus on taastumine ja selle kirjeldamine katkematu järjepidevusena loob ootuse, mida transport täita ei suuda.

Testige üht tõelist riket

Valige üks kontrollitud katkestus ja viige see läbi algusest lõpuni, selle asemel et usaldada projekteerimisdokumenti. Peatage esmane lõpp-punkt ja kinnitage seejärel, et volitatud klient jõuab alternatiivi kaudu kavandatud rakenduseni, samal ajal kui volitamata kliendid ikka ei saa. Kirjutage üles, kui kaua lülitus kestis ja mida rakendus nägi.

dig +short vpn2.example.net
ip route get 10.20.30.41
journalctl -u openvpn@backup --since '-10 min'

Esimene käsk kinnitab, et varunimi laheneb millekski marsruuditavaks enne, kui te seda vajate, ja see on siin odavaim test. Teine näitab, millist liidest tuum kasutaks privaatse sihtkoha jaoks, kui alternatiiv on üleval. Kolmas annab kliendilogi, mis nimetab partnerit, kellega tegelikult ühenduti, ja see on ainus tõestus, et lülitus toimus. Jälgige ka blokeerimiskäitumist vahe ajal, sest poliitika, mis lülitumise ajal liiklust lekitab, on hullem kui lühike katkestus.

Seejärel tooge originaal tagasi ja kinnitage, kas klient naaseb. Juhuslikult toimuv tagasilülitus on käitumine, mida keegi ei planeerinud.

Kirjutage üles, mida teine aadress annab

Võtke katvus kokku ühes lõigus: millise rikke teine lõpp-punkt kõrvaldab, milliseid rikkeid jagab see esimesega ja millistele eeldustele lülitus toetub. Nimetage kliendipoolne mehhanism ning privaatsed marsruudid ja DNS-käitumine, mis peavad mõlemas kohas olemas olema. Avalik internetiväljund ei asenda privaatset lüüsi ja dokumenti, mis kohtleb neid vahetatavatena, usutakse. Lisage läbiviidud taastumistest koos kuupäeva ja tulemusega.

Sõltumatus ühest serverist ei ole sõltumatus jagatud kontost või sihtvõrgust. Just lõik, mis seda valjusti ütleb, hoiab ära, et teist aadressi müüakse sisemiselt kõrge käideldavusena. Samuti ütleb see järgmisele operaatorile, mida kõigepealt kontrollida, kui paar koos ebaõnnestub.