VPN babesbide flotagarriak ez du hartzen: failover egiaztapen-zerrenda

Zure VPN bide flotagarria konfiguratuta dago, babesbidearen distantzia primarioarena baino handiagoa da, eta hala ere ez da ezer inoiz mugitzen. Edo mugitzen da, eta minutu batzuk geroago itzultzen da haririk gabeko esteka oraindik behera dagoen bitartean. Bi kasuetan, kezkatzen zaituen hutsaz bestelako zerbait da bidearen egokitasuna erabakitzen duena.

Egin egiaztapen hauek ordenan. Bakoitzak geldialdi-baldintza bat du, eta huts egindako egiaztapena ezin da hurrengoekin salbatu. Adibideek RouterOS sintaxia erabiltzen dute, distantzia, atebidearen irisgarritasuna eta hurrengo jauzi errekurtsiboa han konfigurazioan ikusgai daudelako, baina ordena bide estatiko jarraituak dituen edozein routerrentzat da baliozkoa.

Izenda ezazu babesbideak estali behar duen hutsa

«Primarioa behera dago» lau behaketa desberdin dira. Bere parekidea galtzen duen irratia, bere garraiatzailea galtzen duen interfazea, erantzuteari uzten dion urruneko atebidea eta funtzionatzeari uzten dion aplikazioa desberdin ikusten dira routerraren tokian. Idatz ezazu zeinentzat den diseinua, inork distantzia-balio bat aldatu aurretik.

Ondoren egiaztatu independentzia. VPNaren kanpoko garraioak haririk gabeko bide beretik edo upstream bera partekatzen duen sarbide-esteka batetik egiten badu, babesbidea ez da bigarren hutsegite-domeinua eta behera egongo da behar duzun unean bertan. Tiratu primarioaren kablea paperean: tunelaren beraren garraioa berarekin hiltzen bada, bide flotagarriak konfigurazio-akatsak soilik estaltzen ditu, ez etenaldiak.

Utzi distantziari zerbait detektatzea eskatzen

Distantzia handiagoak bidea gutxiago hobetsia egiten du. Horixe da lan osoa. Primarioaren bide estatikoa egokia den bitartean, bide flotagarria ez-aktibo geratzen da, eta hori jokabide zuzena da, ez akatsa. Hutsegitea ikusgai bihurtzen da primarioa kentzen denean edo iristezin gisa markatzen denean.

Bide estatikoetarako, horrek jarraipen-tresna esplizitu bat eskatzen du:

/ip route
add dst-address=10.20.0.0/24 gateway=192.0.2.1 distance=1 check-gateway=ping
add dst-address=10.20.0.0/24 gateway=wg-backup distance=10

Irakurri zer probatzen duen: hurrengo jauzia, ez helmuga. Bere alde lokalean oraindik erantzuten duen irrati bat, haratago bidaltzea hautsita duela, primarioaren bidea aktibo mantentzen du. Hori da kasu isila, eta distantziak eta atebidearen egiaztapenak ez dute harrapatuko. Kasu hori garrantzitsua bada, detekzioak urruneko aldea behatzen duen zerbaitetik etorri behar du: bideratze-protokolo baten albokotasuna edo zuk zeuk definitutako bidea eta emaitza-araua dituen proba bat.

Jarraitu probaren paketeak norantz doazen

Osasun-proba batek bidea ere badu. Datu-trafikoak VPNra pasatzen denean, urruneko helbide berberera doan proba mugagabe batek jarrai diezaioke, arrakasta izan eta primarioa berreskuratu dela frogatzeko irakur daiteke. Trafikoak bide hautsira itzultzen da eta zikloa errepikatzen da.

Lotu proba epaitu behar duen bidera. RouterOSen ohiko modua monitorizazio-helmugara doan host-bide bat da, atebide primarioaren bidez, beste inongo bidek ebatzi ezin duen norainokoarekin, eta horixe da RouterOS eskuliburuaren failover errekurtsiboaren adibidea eraikitzen duena. Egiaztatu taula bizian babesbidea aktibo dagoela, ez konfigurazioaren iruzkinetik:

/ip route print detail where dst-address=203.0.113.10
# gateway should still be the primary next hop

Zehaztu probaren emaitzak zer esan nahi duen helburuak gehitu aurretik

ICMP baztertzen duen edo mantentze-lanetara pasatzen den helburu bat bidearen hutsegitearen itxura zehatza du, eta araurik gabeko hiru helburuk hiru iritzi besterik ez dizkizute ematen. Erabaki araua lehenik eta gero ezarri: adibidez, primarioa behera dagoela zenbatzen da hiru helburuetatik bik jarraiko bi tarteetan huts egiten dutenean, eragiketa-gida liburuan idatzita, hurrengo pertsonak han aurki dezan.

Ezarri hutsegite- eta berreskuratze-atalaseak, pakete galdu batek gunea ez mugitzeko. Histeresiak detekzio-denbora pixka bat kostatzen du eta egonkortasuna irabazten du. Aukeratu tartea etenaldi bat zenbat denboraz den jasangarria kontuan hartuta, ez proba zenbat azkar exekuta daitekeen kontuan hartuta, eta mantendu itzulera failoverra baino motelago, primarioak bere burua frogatu behar dezan trafikoa berreskuratu aurretik.

Egiaztatu itzulera-bidea eta saioen istorioa

Kanporantz soilik funtzionatzen duen failoverra diseinuaren erdia da. Urruneko guneak zure jatorrizko barrutira itzultzeko bidea behar du VPNaren bidez, bestela itzulera-trafikoa ustekabeko helbide batetik iristen da eta jada bat ez datorren suebaki-egoerarekin topo egiten du. Lehendik dauden saioak hautsi egingo dira konexio berriek funtzionatzen dutenean ere, beraz jarri hori onarpen-irizpideetan transferentziak bizirautea agintzeko ordez.

Mantendu kudeaketa-sarbidea probatzen ari den bidetik kanpo. Sarbide bakarra primarioaren bidezkoa bada, failover proba batek gaizki ari den gailutik kanpo uzten zaitu.

Exekutatu onarpen-sekuentzia

Hiru probek lurraldearen zatirik handiena estaltzen dute: primarioaren galera fisikoa, aurrealdea oraindik aktibo dagoen bidaltze-hutsegite isila, eta primarioaren berreskurapena. Bakoitzeko, erregistratu probaren iturburua eta hurrengo jauzia, helmugako bide aktiboa eta bi noranzkoetan baimendutako aplikazio-truke berri bat.

Kasu isila da diseinuak bereizten dituena. Babesbideak han hartzen ez badu, esteka-monitorea eraiki duzu, ez bide-monitorea. Erabaki hori onargarria den, eta idatzi muga zaintzako ingeniariak irakurriko duen tokian. Bigarren tunel konektatu bat ez da, bere horretan, amaitu gabeko babes-politika bat.