Toinen WAN-VPN-merkintä epäonnistuu, kun ensisijainen toimii edelleen

Ensisijainen tunneli pysyy pystyssä, käyttäjät jatkavat työtä ja toinen ISP-piiri seisoo käyttämättömänä, mitä tahansa muutatkin. Julkaisit osoitteen varapiirille, osoitit nimen siihen, lisäsit ehkä varamerkinnän asiakkaaseen, ja asiakas joko ei koskaan yritä sitä tai todennus onnistuu ja sitten se kuolee. Seuraamissani tapauksissa automaattinen siirtymä oli yleensä kunnossa; puuttui yksi niistä viidestä asiasta, jotka tekevät merkinnästä käyttökelpoisen. Nimi voi ratketa varaosoitteeksi, vaikka sillä rajapinnalla ei kuuntele mikään, ja kuuntelija voi hyväksyä yhteyden, vaikka vastaus lähtee ensisijaisen kautta. Käsittele jokaista WANia erillisenä merkintänä, jolla on oma sopimuksensa, niin vika lakkaa näyttämästä asiakasohjelman bugilta.

Jokainen WAN tarvitsee oman merkintäsopimuksensa

Kirjaa viisi kenttää jokaista WANia kohden: julkinen nimi ja osoite, kuljetus ja portti, sen päättävä rajapinta tai konteksti, vertaisidentiteetti, joka sen pitää esittää, ja mistä vastaus lähtee. Kaksi piiriä tarkoittaa kahta täydellistä joukkoa. Jos toisella joukolla ei ole päättävää rajapintaa tai paluupolkua, sinulla ei ole varamerkintää; sinulla on DNS-tietue, joka kuvaa aikomusta.

Laitteen ja sen version on myös tuettava järjestelyä. DNS-tietue ei voi avata palvelua toisella rajapinnalla, ja monilla alustoilla kuuntelija määritetään osoitteen eikä laitteen mukaan. ASA:n rajapintapohjainen IPsec sitoo salauskartat ja tunneliryhmät ulompaan rajapintaan, joten toinen ylälinkki tarvitsee käytännön sinne, minne ne paketit todella saapuvat. Reittipohjaiset ratkaisut käyttäytyvät toisin: kuuntelija voi sitoutua jokaiseen osoitteeseen tai yhteen nimettyyn osoitteeseen, ja tämä valinta ratkaisee, voiko ISP B ylipäänsä vastata.

Varmista, että toinen WAN todella vastaa

Testaa molempien piirien ulkopuolelta, älä yhdyskäytävän takana olevasta koneesta, ja testaa täsmälleen sitä nimeä, jota asiakasprofiili käyttää. TLS-kuuntelijalle nopea tarkistus on openssl s_client -connect ADDRESS:443 -servername vpn.example.com -showcerts ajettuna isäntäkoneelta verkkosi ulkopuolelta. Haluat valmiin kättelyn, jonka ketju vastaa profiilin nimeä, et pelkkää TCP-porttia, joka ottaa yhteyden vastaan.

RFC 9525 selittää, mitä asiakasohjelma tarkistaa: identiteetin, johon se aikoi päästä, verrattuna varmenteeseen, jonka palvelu esittää. Toinen merkintä, joka palauttaa ensisijaisen merkinnän varmenteen, tai oletusvarmente, jossa ei luetella kumpaakaan nimeä, epäonnistuu tässä testissä, vaikka portti on auki ja palomuuri sallii sen.

Kaksi mallia selittää useimmat täällä näkyvät viat. Riippumaan jäävä yhteys tarkoittaa yleensä, ettei rajapinnalla ole kuuntelijaa, käyttösääntöä, joka sallii vain ensisijaiset aliverkot, tai toisen piirin edessä olevaa operaattorilaitetta, joka pudottaa portin. Väärällä identiteetillä päättyvä kättely tarkoittaa yleensä toista trustpointia, oletusarvoista virtuaalipalvelinta tai ensisijaisesta kopioitua kokoonpanoa, jonka identiteettiä ei ole mukautettu.

Seuraa vastausta, älä vain pyyntöä

Toinen WAN hajoaa yleensä paluumatkalla. Pyyntö saapuu ISP B:n kautta, laite vastaa, ja vastaus lähtee ISP A:n oletusreittiä pitkin lähdeosoitteella, jota asiakasohjelma ei koskaan pyytänyt. Tilallinen käännös pahentaa sitä: jos kartoitus rakennettiin ensisijaiselle rajapinnalle, palaava paketti ohittaa käännöksen tai kantaa lähdettä, jonka asiakasohjelman palomuuri hylkää. Operaattorit myös hylkäävät lähdeosoitteita, jotka eivät kuulu heidän antamaansa piiriin, siksi tämä näyttää yksisuuntaiselta mustalta aukolta eikä puhtaalta protokollavirheeltä.

Tarkista reittipäätös liikenteelle, jonka lähde on toinen merkintä. Vastauksen pitäisi lähteä rajapinnasta, jolle pyyntö saapui, tai ainakin kantaa osoitetta, jonka kaukopää hyväksyy tähän polkuun kuuluvaksi. Käytäntöpohjaisen reitityksen alustoilla se tarkoittaa saapuvaan rajapintaan tai käännettyyn lähteeseen sidottua sääntöä sekä jokaiseen ulompaan rajapintaan sidottua käännöslausetta. Kaappaa samanaikaisesti molemmilta rajapinnoilta, kun asiakasohjelma yhdistää; ISP B:lle saapuva SYN ja ISP A:lta lähtevä SYN-ACK ratkaisevat kysymyksen yhdellä ajolla.

Anna asiakasohjelmalle tapa oppia toisesta merkinnästä

Automaattinen siirtymä on asiakaspuolen päätös, ja jokainen asiakasperhe oppii vaihtoehdot eri tavalla. ASA:ssa varapalvelinluettelo toimitetaan ryhmäkäytännön webvpn-attribuuteilla, kun taas toiset asiakasohjelmat odottavat luetteloa profiilin sisällä tai käyttäjän valitsemaa manuaalista toista profiilia. Ciscon yhteyskäytäntöopas kuvaa sekä asiakkaassa määritetyn että yhdyskäytävän tarjoaman varatiedon, eikä näitä protokollakohtaisia yksityiskohtia pidä yleistää jokaiseen asiakasohjelmaan tai tunnelitilaan. Vahvista, minkä mekanismin käyttöön otettu asiakasohjelma toteuttaa, ennen kuin rakennat toisen merkinnän väärän mekanismin varaan.

Mekanismista riippumatta asiakasohjelman on pystyttävä ratkaisemaan vaihtoehtoinen nimi ennen kuin se menettää ensisijaisen polun. Juuri tämän riippuvuuden ihmiset jättävät huomaamatta: jos varanimen vastaa ratkaisija, joka on tavoitettavissa vain juuri kaatuneen tunnelin kautta, varayhteys ei voi edes alkaa. Julkaise toinen nimi ratkaisijassa, joka vastaa paikallisesti tai internetin kautta. Odota siirron jälkeen uutta todennusta ja uutta sovellusistuntoa, koska asiakkaan automaattinen siirtymä ei ole tilallinen siirtymä eivätkä pitkäikäiset istunnot selviä siitä.

Yksi osoite kahdella operaattorilla on eri tuote

Yhden julkisen osoitteen pitäminen tavoitettavana molempien piirien kautta on reitityspalvelu, ei VPN:n valintaruutu. Se vaatii osoiteavaruutta, jota molemmat operaattorit ovat valmiita kantamaan, ilmoitettuna niin, että niiden verkot hyväksyvät sen, ja juuri sen tarjoaa monikytkentä operaattoririippumattomalla avaruudella ja BGP:llä. ISP A:n osoitteen antaminen ISP B:n rajapinnalle ei johda sinne; paketti saapuu verkkoon, joka ei koskaan ilmoittanut etuliitettä, ja se pudotetaan ylävirrassa.

Et tarvitse mitään tästä kahden merkinnän julkaisemiseen. Jos asiakasohjelma pystyy pitämään kahta nimeä ja siirtymään niiden välillä, kaksi riippumatonta merkintää riittää, ja vältät AS-numeron, peering-sopimuksen ja etuliitteen, joka pitää hyväksyä kaikkialla. Harkitse siirrettävän osoitteen vaihtoehtoa vain, kun todella tarvitset yhden vakaan sisääntulopisteen, jota asiakkaita ei voi uudelleenmäärittää korvaamaan, tai kun DNS-pohjainen siirtymä TTL-viiveineen on liian hidas katkokselle, jota vastaan suunnittelet.

Mitä tarkistaa seuraavaksi

Työskentele viallisesta merkinnästä ulospäin tässä järjestyksessä: vastaako toinen osoite ulkopuolelta, esittääkö se identiteetin, jota asiakasohjelma odottaa, lähteekö vastaus sitä tietä, jota pyyntö saapui, ja voiko asiakasohjelma oppia nimen ennen kuin sitä tarvitaan. Jos vastaus on ei, korjaa se kerros ja testaa uudelleen käyttöön otetulla profiililla, älä testi-isännällä, koska laboratorion kättely todistaa vähemmän kuin todellisen asiakasohjelman valmis yhteys.

Pidä lyhyt kirjaus jokaista WANia kohden sisältäen osoitteen, portin, päättävän rajapinnan, varmenteen nimen, paluupolun ja käännössäännön, ja tarkista se uudelleen aina, kun piiri, NAT-laite tai asiakasohjelman versio muuttuu. Käyttämättömät varapolut mätänevät hiljaa: mikään ei varoita merkinnästä, jota kukaan ei käytä, ennen kuin päivänä, jolloin kaikki ovat sen varassa.