Toinen VPN-päätepiste: mitä se kattaa ja mitä ei

Kaksi päätepistettä näyttää paperilla kahdennukselta. Käytännössä toinen osoite auttaa vain, kun asiakkaat pääsevät siihen ja kun se välttää vian, johon varaudut. Kaksi palvelinta saman liityntäyhteyden, saman tilin tai saman kohdeverkon takana kaatuvat yhdessä. Hyödyllinen kysymys on, minkä yksittäisen vian toinen päätepiste poistaa.

Vertaa, mitä molemmat päätepisteet jakavat

Listaa, mitä kahdella päätepisteellä on yhteistä, ennen kuin lasket, mitä ne kahdentavat. Isännöintisijainti, palveluntarjoajan tili, ylävirran transit, DNS-isännöinti, identiteetin lähde ja tunnelin takana oleva yksityinen resurssi edustavat joko jaettua tai riippumatonta riippuvuutta. Kaksi virtuaalikonetta yhdellä alueella jakavat palveluntarjoajan katkoksen. Kaksi aluetta yhden tilin alla jakavat edelleen laskutussuhteen ja ohjaustason, joka ne luo.

Kohdeverkko ansaitsee saman kohtelun. Terve varayhdyskäytävä ei voi palauttaa NAS-laitetta, joka on offline-tilassa, eikä se tavoita toimistoverkkoa, jonka ylävirran linkki on alhaalla. Jos molemmat päätepisteet päättyvät samaan yksityiseen aliverkkoon, toinen lisää vain polun kohteeseen, joka on jo ainoa vikapiste.

Identiteetti on riippuvuus, jonka ihmiset unohtavat. Varmenteen ja kokoonpanon kloonaaminen toiselle isännälle luo kaksi paikkaa, joihin sama tunnistetieto voidaan kopioida, eikä se kerro mitään siitä, miten mitätöinnit päätyvät molempiin.

Päätä, miten asiakas vaihtaa

Toinen päätepiste on hyödyllinen vain, jos asiakas tietää siitä ja voi valita sen soittamatta tukeen. OpenVPN-yhteysprofiilit voivat sisältää useita remote-rivejä ja valintakäytännön, ja useimmat asiakkaat tarjoavat vaihtoehtoisen profiilin valikossa. Mekanismista riippumatta kirjoita muistiin, mikä käyttäjilläsi on, sillä profiili, jota he eivät löydä, ei ole vikasieto.

Lue asiakkaan dokumentaatio osoitteen muutoksista istunnon aikana. Jotkin toteutukset pitävät alkuperäisen vertaisensa koko tunnelin eliniän ja tutkivat vaihtoehtoja vasta uudelleenyhdistettäessä. Tämä ero ratkaisee, tuottaako kuollut päätepiste lyhyen keskeytyksen vai istunnon, joka ei koskaan palaudu. Testaa uudelleenyhdistämispolku sen sijaan, että olettaisit sen tapahtuvan.

Muuttunut lähtöosoite rikkoo myös sovelluksen tilan. Vikasieto on palautumista, ja sen kuvaaminen keskeytymättömänä jatkuvuutena luo odotuksen, jota siirto ei voi täyttää.

Testaa yksi todellinen vika

Valitse yksi hallittu katkos ja aja se alusta loppuun sen sijaan, että luottaisit suunnitteludokumenttiin. Pysäytä ensisijainen päätepiste ja varmista sitten, että valtuutettu asiakas saavuttaa aiotun sovelluksen vaihtoehdon kautta, kun taas valtuuttamattomat asiakkaat eivät edelleenkään pääse. Kirjaa, kuinka kauan vaihto kesti ja mitä sovellus näki.

dig +short vpn2.example.net
ip route get 10.20.30.41
journalctl -u openvpn@backup --since '-10 min'

Ensimmäinen komento vahvistaa, että varanimi ratkeaa johonkin reititettävään ennen kuin tarvitset sitä, ja se on halvin testi tässä. Toinen näyttää, mitä rajapintaa ydin käyttäisi yksityiseen kohteeseen, kun vaihtoehto on ylhäällä. Kolmas antaa asiakaslokin, jossa nimetään vertainen, johon todella yhdistettiin, ja se on ainoa todiste siitä, että vaihto tapahtui. Seuraa myös estokäyttäytymistä aukon aikana, sillä käytäntö, joka vuotaa liikennettä vaihdon aikana, on pahempi kuin lyhyt katkos.

Palauta sitten alkuperäinen ja varmista, palaako asiakas. Vahingossa tapahtuva paluu on käyttäytymistä, jota kukaan ei suunnitellut.

Kirjoita, mitä toinen osoite antaa

Tiivistä kattavuus yhteen kappaleeseen: minkä vian toinen päätepiste poistaa, mitkä viat se jakaa ensimmäisen kanssa ja mihin oletuksiin vaihto nojaa. Nimeä asiakaspuolen mekanismi sekä yksityiset reitit ja DNS-käyttäytyminen, joiden on oltava molemmissa paikoissa. Julkinen internet-lähtö ei korvaa yksityistä yhdyskäytävää, ja dokumenttia, joka kohtelee niitä vaihdettavina, uskotaan. Lisää tekemäsi palautumistesti päivämäärän ja tuloksen kanssa.

Riippumattomuus yhdestä palvelimesta ei ole riippumattomuutta jaetusta tilistä tai kohdeverkosta. Juuri se kappale, joka sanoo sen ääneen, estää toista osoitetta myymästä sisäisesti korkeana käytettävyytenä. Se kertoo myös seuraavalle operaattorille, mitä tarkistaa ensin, kun pari kaatuu yhdessä.