سه نوع جابه‌جایی اضطراری OpenVPN روی pfSense، سه سازوکار

«OpenVPN failover» روی pfSense دست‌کم سه طرح نامرتبط را پوشش می‌دهد و هر یک سازوکار متفاوتی می‌خواهد. زنده نگه داشتن یک تونل از طریق پیوند اینترنت پشتیبان، اتصال دوباره به سرور دیگر و هدایت ترافیک LAN به تونل دیگری که از قبل برپا شده، گونه‌های یک قابلیت نیستند. پیش از ساختن یک گروه دروازه، خرابی‌ای را که در برابر آن دفاع می‌کنید انتخاب کنید. گروهی که یکی از آن‌ها را رفع می‌کند، برای دو تای دیگر کاری نمی‌کند.

پیش از ساختن گروه، خرابی را نام ببرید

جمله‌ای را بنویسید که می‌خواهید هنگام قطعی درست باشد. «تونل از طریق WAN پشتیبان دوباره وصل می‌شود» و «شاخه همچنان از طریق تونل دیگر به برنامه می‌رسد» دو جمله متفاوت‌اند. فقط اولی دربارهٔ انتقال است.

سپس آن را به یک سازوکار نسبت دهید. از دست رفتن WAN محلی مسئلهٔ انتخاب واسط است، نقطهٔ پایانی دورِ مرده مسئلهٔ فهرست اتصال‌هاست، و مسیر بی‌استفاده درون تونل برپاشده مسئلهٔ مسیریابی و سیاست است.

WAN محلی: انتقال را جابه‌جا کنید

برای یک کارخواه OpenVPN روی pfSense، چیدمان چند-WAN پشتیبانی‌شده یک گروه دروازه مناسب را به‌عنوان واسطی که کارخواه به آن می‌بندد انتخاب می‌کند. همین است که به اتصال بیرونی اجازه می‌دهد هنگام از کار افتادن پیوند اصلی از پیوند پشتیبان خارج شود. خودبه‌خود تغییری در نحوهٔ مسیریابی ترافیک داخلی نمی‌دهد.

سمت سرور همان طرح جداست. سرور OpenVPN که باید از چند نشانی عمومی در دسترس باشد، برای هر یک از آن ورودی‌ها به یک شنونده و یک سیاست ورودی نیاز دارد، نه فقط کارخواهی که می‌تواند از دو پیوند شماره‌گیری کند. یک ورودی عمومی سالم شاهد آن نیست که دومی پیکربندی شده است.

قاعدهٔ مسیریابی مبتنی بر سیاست برای بسته‌های LAN ارسال‌شده همان تنظیمی نیست که یک اتصال انتقال VPN ساخته‌شده در محل را جابه‌جا می‌کند. این‌ها دو جست‌وجوی متفاوت‌اند و تغییر یکی دیگری را تغییر نمی‌دهد.

نقطهٔ پایانی دور: سرور دیگر

remote جایگزین قابلیتی در فهرست اتصال‌هاست. کارخواه وقتی ورودی کنونی پاسخ نمی‌دهد ورودی بعدی را می‌آزماید، که وقتی میزبان مشخصی از کار افتاده سودمند است و نه وقتی پیوند بالادستی خودتان افتاده است. دو خرابی از پشت میز کاربر شبیه به هم دیده می‌شوند و اصلاح‌های متفاوتی می‌خواهند.

هر نامزد باید جایگزینی واقعی باشد: احراز هویت سازگار، سیاست کارخواه سازگار و دسترسی به همان منابع خصوصی. نام میزبان دومی که به همان زیرساخت خراب تجزیه می‌شود پشتیبان نیست. سروری که مسیر لازم را ندارد هم چنین نیست، هرقدر هم دست‌دادنش سالم به نظر برسد.

این سازوکار همچنین دو تونل را هم‌زمان عبوردهنده نمی‌کند. یک اتصال را به‌صورت پیاپی با دیگری جایگزین می‌کند و شکاف میانشان برای هر چیزی که در حال اجرا بود دیده می‌شود.

مسیر تونل: خروجی دیگری برگزینید

وقتی دو تونل از قبل برپا هستند و ترافیک باید از سالم‌تر استفاده کند، سازوکار یک واسط VPN تخصیص‌یافته با دروازهٔ خودش است، به‌همراه یک قاعدهٔ صریح سیاست که ترافیک درست را به آنجا می‌فرستد. یک گروه دروازه روی آن واسط‌های تخصیص‌یافته می‌تواند اولویت و پایش را بیان کند.

این طرح دربارهٔ گزینش است، نه بازیابی. جابه‌جا کردن اتصال‌های تازه به تونل دوم چیزی دربارهٔ نشست‌هایی که از قبل روی اولی برقرار شده‌اند نمی‌گوید و چیزی دربارهٔ اینکه طرف دور نشانی مبدأ تازه را می‌پذیرد یا نه. برخورد با آن به‌عنوان سازوکار بازیابی همان راه بالا بردن بیش از حد انتظارهاست.

اگر الزام این است که نشست‌های موجود زنده بمانند، آن را صریح بگویید. بیشتر پیاده‌سازی‌ها جریان زنده را میان تونل‌ها منتقل نمی‌کنند و طراحی به‌گونه‌ای که گویی منتقل می‌کنند، جابه‌جایی‌ای می‌سازد که در نمودار درست به نظر می‌رسد و در عمل هر اتصال باز را می‌اندازد.

پایشگرها، NAT و قاعدهٔ fail-closed

پایشگر باید چیزی را بیازماید که تونل قرار است فراهم کند. هدفی که از همتای تونل پاسخ می‌دهد اما از شبکهٔ برنامه‌های پشت آن نه، سالم گزارش می‌شود درحالی‌که کاربران چیزی نمی‌بینند. هدف عیب‌یابی دسترس‌ناپذیر مرده گزارش می‌شود درحالی‌که مسیر درست است. نشانی را آگاهانه برگزینید و تأیید کنید که فقط از طریق تونل موردنظر در دسترس است.

NAT خروجی را برای هر دو خروجی بررسی کنید. ترجمه‌ای که روی اصلی کار می‌کند نشانی مبدأ پشتیبان را توصیف نمی‌کند و شبکهٔ خصوصی دور به مسیر بازگشتی نیاز دارد که با مبدأیی که ارائه می‌دهید بخواند. ترجمه‌ای که روی یک مسیر درست است می‌تواند روی دیگری به‌طور خاموش نادرست باشد.

سپس تصمیم بگیرید چه بر سر ترافیکی می‌آید که هرگز نباید از WAN استفاده کند. pfSense برای قواعدی که دروازهٔ برگزیده‌شان از کار افتاده رفتار تعریف‌شده‌ای دارد و یک قاعدهٔ عبور گستردهٔ بعدی یا مسیر پیش‌فرض می‌تواند قصد شما را باطل کند. نتیجهٔ مسدود را به‌عنوان الزام بنویسید و سپس آن را با پایین آوردن مسیر تأیید کنید.

افت و بازیابی را جداگانه بیازمایید، با ترافیکی که مجاز به تولیدش هستید، و سه چیز را هم‌زمان بپایید: WAN که اتصال بیرونی را می‌برد، تونلی که درخواست برنامه را می‌برد و مسیری که پاسخ می‌پیماید. یک جفت نشانگر سبز دروازه یکی از آن سه نیست. راهنمای چند-WAN نت‌گیت پیوند انتقال و جایگزین‌های کارخواه صادرشده را که این بر آن‌ها استوار است توصیف می‌کند.