VPN tagavaraüleminek: kui tagasitee jääb vanasse tunnelisse

Varutunnel tõuseb, esmane tunnel langeb ja rakendus jookseb ikka ajapiirini. Mõlemas saidis näib tunneli olek terve, ja just see teeb asja segaseks. Üleminek, mis viib päringud varule, aga jätab vastused vanale teele, ei ole üleminek. Allolev juhend testib tagasiteed, mitte ainult kätlust.

Kirjuta kõigepealt marsruudid mõlemas otsas üles; ühe saidi vaade ei saa näidata asümmeetrilist teed. See on ka samm, mis jäetakse ajasurve all kõige sagedamini vahele.

Kirjuta mõlema saidi marsruudid enne testi üles

Iga kaitstud prefiksi jaoks kirjuta esmane marsruut, varumarsruut ja eelistus, mis nende vahel valib. Lisa iga VPN-i lõpp-punkti taga olev LAN-lüüs, sest lõpp-punkt on harva viimane hüpe.

Staatilised mõõdikud, jälgitud marsruudid ja dünaamiline marsruutimine väljendavad sobivust erinevalt. Tea, millist sinu disain kasutab, ja mida on vaja, et alternatiiv muutuks aktiivseks. Kirjuta tingimus marsruudi kõrvale, näiteks madalam mõõdik, kuni kontroll nurjub.

Tee seda mõlemas saidis. Varu, mida eelistatakse ühel poolel ja eiratakse teisel, tekitab täpselt selle asümmeetria, mida püüad vältida.

Jälgi päringuid ja vastuseid igas faasis

Kasuta kahjutut lubatud rakendust ja jälgi kolme faasi: tavaline, esmase tee tõrge ja taastamine. Igas faasis pane kirja, milline tunnel kannab päringut ja milline vastust. Kättesaadav partneri aadress ei tõesta, et kaitstud rakenduse tee töötab. Fikseeri mõlemas saidis, et ühesuunaline voog oleks nähtav.

Kui päringud liiguvad ja vastused mitte, kontrolli kaugema saidi marsruuti kliendi prefiksini ja selle eelistust varule. See on marsruutimisotsus, mitte tunneli tõrge.

Pärast testi taasta algne olukord ja kinnita, et esmane tee on jälle eelistatud. Taastatud esmane tee, mida ei eelistata, on lõpetamata ülemineku disain.

Käsitle sessiooni olekut, kui lüüs muutub

Tulemüürid ja NAT võivad hoida ühenduse olekut ühes lüüsis ja tee muutumine teise lüüsi ei kanna seda üle. Mõned rakendused ühenduvad ise uuesti; teised nurjuvad, kuni sessioon taastatakse. Kui varu muudab avalikku allikat või tõlgitud privaatset aadressi, võivad ka kaugjuurdepääsu reeglid reageerida. Dokumenteeri igasugune oodatav sessiooni taaskäivitamine, selle asemel et lubada katkematut üleminekut.

Hoia stabiilset adresseerimist seal, kus rakendus seda nõuab. Ülemineku disain, mis muudab iga sessiooni jaoks lähteaadressi, on disainiotsus ja see tuleks kirja panna. See otsus määrab, kui palju katkestust kasutajad tegelikult märkavad.

Testi rakendust, mis hoiab pikka sessiooni, mitte ainult uut päringut.

Taasta esmane tee ja kontrolli võnkumist

Kinnita, et marsruuditeated või eelistused stabiliseeruvad ilma võnkumata. Võnkuv esmane tee võib olla häirivam kui selge katkestus, sest iga üleminek lähtestab oleku.

Hoia lüüsi haldus taastetee kaudu kättesaadav, et test ise sind välja ei lukustaks. Pane kirja faasid, vaadeldud teed ja taastamisaeg; just see kirje teeb järgmise ülemineku ettearvatavaks. strongSwan-i edasisaatmise märkmed on kasulikud, kui lõpp-punktid on Linuxi hostid.