VPN bide anitzetan: operadoreak eman beharreko lau berme

Gehitu bigarren WAN esteka bat eta tunelak altxatzen dira, baina fitxategi kopia bat blokeatuta geratzen da bide bat kulunkatzen denean. Estekak osasuntsu daude eta VPN prozesuak martxan daude; falta dena operadorearen eta tunelaren arteko kontratua da. Hainbat socketek ez dute automatikoki konexio bakarra bezala jokatzen, eta gaineko aplikazioak ezin du aldea nabaritu entregatzeak huts egiten duen arte. Kontratuaren zati bakoitza proba dezakezun hutsegite bati dagokio, eta horrek egiten du erabilgarria.

Idatzi kontratu hori produktu bat aukeratu aurretik. Lau zati ditu: VPNak jasotzen duen fluxua, operadoreak falta diren datuak nola berreskuratzen dituen, zein muturreko identitatek irauten duen bide aldaketaren ondoren, eta multzoak nola jokatzen duen bide batek huts egiten duenean.

Sintoma: estekak martxan daude, saioa oraindik eteten da

Bi estekak martxan daudela erakusten duen monitorizazio grafiko batek bide bakoitzak trafikoa eramaten duela frogatzen du soilik. Ez du frogatzen VPNak fluxu ordenatu bakarra ikusten duenik, bide batean galdutako paketea beste batean berreskuratzen denik, edo parekoak oraindik badakien zein saiorekin hitz egiten ari den. Kontratuaren gainerakoak grafikoak erakuts dezakeena baino gehiago estaltzen du.

Transferentzia bat blokeatzen denean, jakin ezazu operadoreak biziraun duen bidean entregatzen jarraitu zuen. Saioa hiltzen bada bigarren esteka alferrik dagoela, operadoreak ez zuen inoiz erabili. Saioak bizirauten badu baina datuak ordenaz kanpo edo bikoiztuta iristen badira, operadoreak paketeak mugitzen ari da konexio mailako kontraturik gabe. Bi aldeetako denbora-markek argitzen dute normalean.

Bereizketa horrek erabakitzen du konponbidea. Bideratze edo politika arazo batek bide hautaketaren aldaketa behar du; ordenatze eta berreskuratze geruza falta batek beste garraio bat behar du, ez buffer handiagoa.

Lehen bermea: byte fluxua konexio mailan

VPNak fluxu ordenatu fidagarria behar badu, operadoreak byte barrutiak identifikatu behar ditu bide indibidualaren gainetik. Azpiko TCP konexio bakoitzak bere segmentuak soilik zenbatzen ditu, beraz hartzaileak ezin du bideen artean berrordenatu zenbaki horiekin soilik.

Multipath TCP da adibide estandarizatua. Byte fluxu fidagarri bakarra aurkezten du TCP azpi-fluxu batzuk koordinatzen dituen bitartean, datu mailako sekuentzia mapatze eta berrespenarekin. Aplikazioak fluxu bat irakurtzen du, pieza lehenengo entregatu zuen azpi-fluxua ez.

Linuxen, MPTCP socket bakoitzeko opt-in da IPPROTO_MPTCP bidez. Negoziazioak bide anitzeko jokabidea erabil ezin duenean, dokumentatutako atzera-egitea TCP arrunta da, eta horrek esan nahi du aplikazioak bide bakarrean jarrai dezakeela bigarrena inoiz erabili gabe. Egiaztatu inplementatutako socketak benetan negoziatu zuen jokabidea, kernelaren ezarpena aplikatu zela suposatu beharrean.

Bigarren bermea: ordenatzea, bikoizketa eta berreskuratzea

Atzerapen eta galera-tasa desberdinetako bideek operadorea bufferizatzera, berrordenatzera eta berriz bidaltzera behartzen dute. Kontratuak adierazi behar du zenbat buffer onartzen den, aplikazioak zer kontra-presio ikusten duen eta zein bidek daraman berbidalketa.

Konektatuta jarraitzen duen baina entregatzeari uzten dion bidea ixte garbia baino zailagoa da. Operadoreak detektatu, zain dauden datuak mugitu eta sekula iritsiko ez den segmentu baten zain betiko itxarotea saihestu behar du. Bi estekak martxan daudela egiaztatze hutsak ez du estaltzen egoera hori.

Bikoizketak bere araua behar du. Karga bera bi bideetan bidaltzeak latentzia hobetu dezake, baina hartzaileak kopia kendu behar du VPNra iritsi aurretik. IPsec anti-replay segurtasun-elkarte bakoitzeko hautazkoa da eta sekuentzia-zenbakiak egiaztatzen ditu; paketeak berrordenatzen edo berriz erreproduzitzen dituen bikoizketa geruza batek aktiba dezake edo arazoa ezkuta dezake tunela erori arte.

Hirugarren bermea: muturreko identitatea eta bide elkartzea

Parekoak modu egonkor bat behar du saioa ezagutzeko bide berri bat agertzen denean. Bide bakoitza tunel bereizi gisa autentifikatzen bada, VPNak bi saio ikus ditzake bat baino. Operadoreak bideak saio bakar baten pean elkartzen baditu, bide berria nola autentifikatzen den eta zaharrarekin zer gertatzen den zehaztu behar du.

Erregistratu zein helbide eta identifikatzaile jarraitzen duten egonkor: tunelaren muturra, operadorearen saio-identifikatzailea eta tartean dagoen proxy oro. Proxy batek erabilgarritasun eta konfiantza muga gehiago gehitzen ditu, babestutako karga inoiz ikusten ez duenean ere.

Hemen bizi da politika ere. Ustekabeko sare batetik elkartzen den bidea teknikoki baliozkoa izan daiteke eta hala ere aurreikusitako konfiantza-eredua urratu. Erabaki bide berriak automatikoki onartzen diren, autentifikazioa eskatzen duten edo ukatzen diren.

Laugarren bermea: hutsegitepean jokaera mugatua

Probatu bide hutsegite osoa, ez soilik bide motela. Biziraun duen bideak saioa memoria hazkunde mugagaberik gabe eraman beharko luke, eta berreskuratzeak ez luke aplikazioak onar dezakeen baino luzeagoa den tenporizadore baten mendekoa izan behar. Hutsegindako bidea itzultzen denean, operadoreak erabaki behar du berorekatzen duen edo fluxua dagoen tokian uzten duen.

Ezarri mugak bufferizatzeko, berbidaltzeko eta bide kopururako, eta egiaztatu galera, berrordenatze, bikoizketa eta atzerapen desorekapean. Banda-zabalera agregatua da hemen zenbakirik interesik gabeena; entrega-jarraitutasuna eta memoria-mugak dira kontratua.

Eduki operadorearen berreskuratze-egoera VPNaren egoera kriptografikotik bereizita. Autentifikazio edo zifratze finkatuak ordezten dituen fidagarritasun geruza pertsonalizatua ez da lasterbidea, eta geruzen artean sekuentzia-zenbakiak berrerabiltzeak replay babesa eta diagnostikoa fidagaitz bihurtzen ditu.

Onartu operadorea proba plan batekin

Idatzi lau bermeak gainditu edo huts egin egiaztapen gisa: fluxu ordenatu bat, berreskuratze zehaztua, saio-identitate egonkorra, hutsegite jokaera mugatua. Exekutatu egiaztapen bakoitza bide bat degradatuta eta gero bide bat kenduta.

Bide aldaketa batean zehar ondo burututako fitxategi transferentzia bakarrak ez du funtzionamendu jarraitua frogatzen. Errepikatu transferentzia bide hobetsia txandakatuz, eta ikuskatu bai operadorearen ikuspegia bai VPNaren berezko kontagailuak. Biak ados ez badaude datuak zein bidek eraman zituen, kontratua ez da oraindik behatzen.

Gorde onartutako matrizea inplementazioarekin batera. Hurrengo ingeniariari esaten dio zein jokabide agindu zen, zein bide konbinazio probatu ziren eta zein huts modu ez den oraindik onartzen, esteken egoera argietatik beste buruketa erronda bat egin gabe.