Kolm OpenVPN-i ümberlülituse tüüpi pfSense'is, kolm mehhanismi

„OpenVPN-i failover“ pfSense'is hõlmab vähemalt kolme omavahel mitteseotud lahendust ja igaüks neist nõuab erinevat mehhanismi. Tunneli elus hoidmine varu-internetiühenduse kaudu, teise serveriga uuesti ühendamine ja LAN-liikluse suunamine teise juba loodud tunnelisse ei ole ühe funktsiooni variatsioonid. Vali tõrge, mille vastu end kaitsta tahad, enne kui ehitad lüüsigrupi. Grupp, mis parandab ühe neist, ei tee kahe teise jaoks midagi.

Nimeta tõrge enne grupi ehitamist

Kirjuta lause, mille soovid katkestuse ajal tõeseks olevat. „Tunnel ühendub varu-WAN-i kaudu uuesti“ ja „harukontor jõuab rakenduseni endiselt teise tunneli kaudu“ on erinevad laused. Ainult esimene käsitleb transporti.

Seejärel seo see mehhanismiga. Kohaliku WAN-i kadu on liidese valiku probleem, surnud remote-lõpp-punkt on ühenduste nimekirja probleem ja kasutuskõlbmatu tee olemasoleva tunneli sees on marsruutimise ja poliitika probleem.

Kohalik WAN: liiguta transporti

pfSense'i OpenVPN-kliendi puhul valib toetatud mitme WAN-i lahendus sobiva lüüsigrupi liideseks, millega klient seotakse. Just see laseb välisel ühendusel lahkuda varuühenduse kaudu, kui esmane tõrgub. See iseenesest ei muuda seda, kuidas sisemist liiklust marsruuditakse.

Sama lahenduse serveripool on eraldiseisev. OpenVPN-i server, mis peaks olema kättesaadav mitme avaliku aadressi kaudu, vajab iga sellise kirje jaoks kuulajat ja sissetulevat poliitikat, mitte ainult klienti, mis oskab kahe ühenduse kaudu välja helistada. Üks toimiv avalik kirje ei ole tõestus, et teine on seadistatud.

Edastatud LAN-pakettide poliitikapõhine marsruutimisreegel ei ole see seade, mis liigutab kohalikult loodud VPN-i transpordiühendust. Need on kaks erinevat otsingut ja ühe muutmine ei muuda teist.

Remote-lõpp-punkt: teine server

Alternatiivne remote on ühenduste nimekirja funktsioon. Klient proovib järgmist kirjet, kui praegune ei vasta, mis on kasulik siis, kui konkreetne host on maas, mitte siis, kui sinu enda ühendus on. Need kaks tõrget näevad kasutaja töölaualt sarnased välja ja nõuavad erinevaid parandusi.

Iga kandidaat peab olema tõeline asendaja: ühilduv autentimine, ühilduv kliendipoliitika ja juurdepääs samadele privaatsetele ressurssidele. Teine hostinimi, mis laheneb samale rikkis taristule, ei ole varulahendus. Server, millel puudub nõutav marsruut, ei ole seda samuti, ükskõik kui terve selle kätlus välja näeb.

See mehhanism ei pane kahte tunnelit korraga edastama. See asendab ühe ühenduse teisega järjestikku ja nende vaheline lünk on nähtav kõigele, mis parasjagu töötas.

Tunneli tee: vali teine väljapääs

Kui kaks tunnelit on juba püsti ja liiklus peaks kasutama tervemat, on mehhanismiks määratud VPN-liides oma lüüsiga, millele lisandub selgesõnaline poliitikareegel, mis saadab õige liikluse sinna. Nende määratud liideste kohal saab lüüsigrupiga väljendada prioriteeti ja järelevalvet.

See lahendus räägib valikust, mitte taastumisest. Uute ühenduste teise tunnelisse liigutamine ei ütle midagi juba esimesele loodud sessioonide kohta ega selle kohta, kas vastaspool uue lähteaadressi vastu võtab. Selle käsitlemine taastumismehhanismina seab ootused liiga kõrgele.

Kui nõue on, et olemasolevad sessioonid jääksid püsima, ütle seda selgesti. Enamik rakendusi ei migreeri elavat voogu tunnelite vahel ja nii projekteerimine, nagu teeksid nad seda, annab ümberlülituse, mis näeb skeemil õige välja ja pillab praktikas iga avatud ühenduse.

Monitorid, NAT ja fail-closed-reegel

Monitor peaks testima midagi, mida tunnel peaks pakkuma. Sihtmärk, mis vastab tunneli partnerilt, aga mitte selle taga olevalt rakendusvõrgult, teatab tervest olekust, samal ajal kui kasutajad ei näe midagi. Kättesaamatu diagnostikasihtmärk teatab surnud olekust, samal ajal kui tee on korras. Vali aadress teadlikult ja kinnita, et see on kättesaadav ainult kavandatud tunneli kaudu.

Kontrolli väljuvat NAT-i mõlema väljapääsu jaoks. Esmasel töötav tõlge ei kirjelda varuühenduse lähteaadressi ja kaugem privaatvõrk vajab tagasiteed, mis vastab sellele lähtele, mida esitad. Ühel teel õige tõlge võib teisel olla vaikselt vale.

Seejärel otsusta, mis juhtub liiklusega, mis ei tohi kunagi WAN-i kasutada. pfSense'il on määratletud käitumine reeglite jaoks, mille valitud lüüs on maas, ja hilisem lai lubamisreegel või vaikemarsruut võib sinu kavatsuse tühistada. Kirjuta blokeeritud tulemus nõudena üles ja kontrolli seda tee mahavõtmisega.

Testi kadu ja taastumist eraldi, liiklusega, mida tohid tekitada, ja jälgi korraga kolme asja: WAN-i, mis kannab välist ühendust, tunnelit, mis kannab rakendusepäringut, ja teed, mille vastus võtab. Paar rohelist lüüsiindikaatorit ei ole üks neist kolmest. Netgate'i mitme WAN-i juhend kirjeldab transpordisidestust ja eksporditud kliendialternatiive, millele see toetub.