Second point de terminaison VPN : ce qu’il couvre et ce qu’il ne couvre pas

Deux points de terminaison donnent l’impression, sur le papier, d’une redondance. En pratique, une seconde adresse n’aide que si les clients peuvent l’atteindre et si elle évite la panne à laquelle vous vous préparez. Deux serveurs derrière la même connexion d’accès, le même compte ou le même réseau cible tombent ensemble. La question utile est quelle panne unique le second point de terminaison élimine.

Comparez ce que les deux points partagent

Dressez la liste de ce que les deux points de terminaison ont en commun avant de compter ce qu’ils dupliquent. L’emplacement d’hébergement, le compte du fournisseur, le transit amont, l’hébergement DNS, la source d’identité et la ressource privée derrière le tunnel représentent chacun une dépendance partagée ou indépendante. Deux machines virtuelles dans une région partagent une panne de fournisseur. Deux régions sous un même compte partagent encore la relation de facturation et le plan de contrôle qui les crée.

Le réseau cible mérite le même traitement. Une passerelle de secours saine ne peut pas restaurer un NAS hors ligne, ni atteindre un réseau de bureau dont le lien amont est tombé. Si les deux points aboutissent dans le même sous-réseau privé, le second n’ajoute qu’un chemin vers une destination qui est déjà le point de défaillance unique.

L’identité est la dépendance que l’on oublie. Cloner le certificat et la configuration sur un second hôte crée deux endroits où la même information d’identification peut être copiée, et ne dit rien de la façon dont les révocations atteignent les deux.

Décidez comment un client bascule

Un second point de terminaison n’est utile que si le client le connaît et peut le sélectionner sans appeler le support. Les profils de connexion OpenVPN peuvent porter plusieurs lignes remote avec une politique de sélection, et la plupart des clients proposent un profil alternatif dans un menu. Quel que soit le mécanisme, notez lequel vos utilisateurs possèdent, car un profil qu’ils ne trouvent pas n’est pas un basculement.

Lisez la documentation du client sur les changements d’adresse pendant une session. Certaines implémentations gardent le pair d’origine pendant toute la durée du tunnel et ne consultent les alternatives qu’à la reconnexion. Cette distinction décide si un point mort produit une brève interruption ou une session qui ne se rétablit jamais. Testez le chemin de reconnexion au lieu de supposer qu’il se produit.

Une adresse de sortie changée casse aussi l’état de l’application. Le basculement est un rétablissement, et le décrire comme une continuité ininterrompue crée une attente que le transport ne peut pas satisfaire.

Testez une vraie panne

Choisissez une panne contrôlée et exécutez-la de bout en bout, plutôt que de faire confiance au document de conception. Arrêtez le point de terminaison principal, puis confirmez qu’un client autorisé atteint l’application prévue par l’alternative alors que les clients non autorisés n’y parviennent toujours pas. Notez la durée du basculement et ce que l’application a vu.

dig +short vpn2.example.net
ip route get 10.20.30.41
journalctl -u openvpn@backup --since '-10 min'

La première commande confirme que le nom de secours se résout en quelque chose de routable avant que vous en ayez besoin, et c’est le test le moins coûteux ici. La seconde montre quelle interface le noyau utiliserait pour une destination privée une fois l’alternative active. La troisième fournit le journal du client nommant le pair auquel il s’est réellement connecté, et c’est la seule preuve que le basculement a eu lieu. Surveillez aussi le comportement de blocage pendant l’intervalle, car une politique qui laisse fuiter du trafic pendant le basculement est pire qu’une courte interruption.

Ramenez ensuite l’original et confirmez si le client revient. Un retour qui se produit par accident est un comportement que personne n’a planifié.

Notez ce que la seconde adresse apporte

Résumez la couverture en un paragraphe : quelle panne le second point élimine, quelles pannes il partage avec le premier et sur quelles hypothèses repose le basculement. Nommez le mécanisme côté client ainsi que les routes privées et le comportement DNS qui doivent exister aux deux endroits. Une sortie Internet publique ne remplace pas une passerelle privée, et un document qui les traite comme interchangeables sera cru. Ajoutez le test de rétablissement que vous avez exécuté, avec la date et le résultat.

L’indépendance vis-à-vis d’un serveur n’est pas l’indépendance vis-à-vis du compte partagé ou du réseau cible. C’est le paragraphe qui le dit tout haut qui empêche une seconde adresse d’être vendue en interne comme haute disponibilité. Il indique aussi au prochain opérateur quoi vérifier en premier lorsque la paire tombe ensemble.