VPN kontu bakarra bi zerbitzaritan: hiru egoera-erregistro

Bi VPN nodoetatik edozeinetan saioa has dezakeen kontu bakar batek diseinu-galdera bat planteatzen du software-galdera bat baino askoz lehenago. Kontuaren ikuspegia, nodo bakoitzak duen sarea eta konektatutako bezero batek daukan saioa hiru egoera-mota desberdin dira, eta modu desberdinetan huts egiten dute leku batetik bestera kopiatzen dituzunean. Hirurak sistema bakarrera kopiatzea horietako bat galtzeko modu ohikoa da.

Landu beheko hiru erregistroak hurrenez hurren. Bakoitzak galdetzen du zer den autoritatezkoa, zer tokikoa eta zer gertatzen den beste nodoa falta denean, eta erantzunek elkarri ez diote jarraitzen.

Nork konekta dezake: autoritate bat, nodo asko

Hasi onarpen-erregistroarekin: zein identitate-iturri den autoritatezkoa, zein ziurtagiri-igorlek duten konfiantza, zein kontu diren hautagarri, zein bigarren faktore aplikatzen den eta zer irits dezakeen kontu bakoitzak. Gero idatzi nola jakiten duen nodo bakoitzak aldaketen berri, eta zein azkar.

Datu-base partekatua erantzun horren osagai posible bat da. Ez da froga politika garrantzitsu guztiak han bizi direnik, ezta nodo bakoitzak aldaketa une berean aplikatzen duenik. A nodoan desgaituta baina B nodoan oraindik onartuta dagoen kontu batek esan nahi du baja-prozesua ez dela amaitu.

Erabaki zer egiten duen nodo batek autoritatea eskuragarri ez dagoenean. Etendura batean cachean gordetako kredentzialak onartzea segurtasun-kostua duen politika-erabakia da, eta haiek baztertzea erabilgarritasun-kostua duen politika-erabakia. Biak defendagarriak dira; dokumentatu gabe uztea ez.

Eduki igorlearen autoritatea kontuaren datuetatik bereizita. Pasabide batzuek CA berari fidatu diezaiokete haren sinadura-gakoa eduki gabe, eta nodo bakoitzak oraindik bere zerbitzari-ziurtagiria eta bere bezero-aldeko konfiantza-harremana behar ditu.

Zer duen nodo batek: helbideak eta bideak

Bigarren erregistroa nodo bakoitzarentzat tokikoa da: entzuteko helbidea, zerbitzariaren identitatea, helbide-poola, baliabide pribatuetarako bideak, ebazleen politika eta trafikoak nola irteten duen internet aldera. Kontu bera edozein nodok zerbitza dezake, objektu hauek bereiziak izaten jarraitzen duten bitartean.

Itzulera-bidea ahazten den zatia da. Bi nodoek pool beretik helbideak banatzen badituzte, sare pribatuak ezin du jakin bezero jakin bat zein nodori dagokion, eta erantzuna leku okerrean bidal daiteke. Pool ezberdinek bideak eta baimenak ere behar dituzte, beraz zenbaki-tarte bereizi bat ez da diseinu osoa.

Bideratu bezeroak nodo batera nahita. DNS hautaketa, bezeroaren amaierako puntuen zerrendak eta front-end zerbitzua mekanismo desberdinak dira, osasun- eta hutsegite-konmutazio-jokabide desberdinekin. Bat aukeratzea ondo dago; «karga-orekatzea» diseinutzat hartzeak itzulera-bidea eta hutsegite-jokabidea definitu gabe uzten ditu.

Dokumentatutako produktu-adibide bat lagungarria da hemen. Pritunlen erreplikazio-dokumentazioak VPN sarea erreplika bakoitzeko objektutzat hartzen du, eta erreplika ezberdinetako bezeroek bide eta konektibitate gehigarriak behar dituzte elkar iristeko. Produktuaren berariazko antolamendua da, ez Community OpenVPNrako errezeta, baina erakusten du zergatik erreplika bat gehitzeak sarea aldatzen duen, eta ez soilik kontuen biltegia.

Zer den saio bat: egoera bizia, ez errenkada bat

Hirugarren erregistroa zuzeneko saioa da. Konektatutako bezero batek protokolo-egoera eta sare-esleipena ditu onartu zuen nodoan. Kontua beste nodoan ezaguna izateak ez dio nodo horri saioa, gakoak edo paketeekin jarraitzeko gaitasuna ematen.

Izan zaitez esplizitua nodo batek huts egiten duenean zer gertatzen den. Onartutako emaitza beste nodoarekiko berriro konektatzea izan daiteke, autentifikazio berriarekin eta helbide berriarekin, eta ondoren aplikazioa bere modura suspertzen da. Etengabeko transferentzia beharrezkoa bada, baldintza horrek inplementazioaren berariazko sostengua behar du, ez datu-basearen erreplikaziotik ateratako inferentzia. Idatzi erantzuna zaintza-ingeniariak aurki dezakeen tokian.

Edukiera-araujek tratamendu bera behar dute. Kontu bakarreko bi saio aldi bereko muga nodoen artean betearaz daiteke soilik autoritate batek okupatutako tokiei buruzko ikuspegi koordinatua badu. Nodoen tokiko zerrendek eta kontuaren erregistro historikoak ez dute ikuspegi hori osatzen.

Hiru erregistroak probatzea

Entrenatu bakoitza bereizita. Hasi saioa A nodotik, gero B nodotik, eta egiaztatu biek arrakasta dutela espero diren helbide-tarteekin. Kendu identitate bat eta egiaztatu bi nodoak, ez soilik kasualitatez probatu duzun hura. Ondoren gelditu nodo bat eta behatu zer egiten duten benetan bezeroak eta aplikazio pribatuak.

Sartu itzulera-bidea onarpen-proban. B-rekin konektatzen den baina A-ren atzeko baliabide batetik erantzunik jaso ezin duen bezeroak onarpen-egiaztapena gainditu du eta sarekoa huts egin du, eta bereizketa hori txostenean agertu beharko litzateke.

Nodo anitzeko kontu-diseinua osatua da hiru erregistroek jabe esplizitua, aldaketarako bidea eta hutsegite-jokabidea dituztenean soilik. Konfigurazio-fitxategi bat nodoen artean kopiatzeak ez die galdera horiei erantzuten.