Hoe't jo in VPN-failoverbelied op 'e router sûnder lekken bouwe
Bepale wat ferkear dwaan moat as de foarkarstunnel útfalt: backuptunnel, gewoane WAN of blokkearje. Bou it dan op 'e router en test it.
De failover wurke krekt sa't it ynsteld wie, en dat wie it probleem. Doe't de primêre tunnel útfûl, ferpleatste de router de standertrûte nei de kabelmodem, laptops bleaunen browsen, en nimmen belle. Twa dagen letter seach immen dat de finansjele dielde map seis oeren berikber west hie fia it iepen ynternetpaad. In VPN-failoverbelied op 'e router is gjin routingtruc; it is in beslút oer wat ferkear dwaan moat as it foarkarpaad fuort is, en dat beslút moat bestean foardat it paad ferdwynt.
Bepale de útkoms foardat jo de detektor kieze
Meastentiids lizze trije útkomsen op 'e tafel: beynfloede kliïnten troch in backuptunnel stjoere, harren de gewoane WAN brûke litte, of harren folslein blokkearje. Skriuw op hokker jildt foar hokker VLAN, SSID of apparaatklasse. Ien platte regel “oerskeakelje nei WAN” is hoe't de finansjele map hjirboppe op in iepenbier paad belâne.
De trije binne net útwikselber. WAN-fallback hâldt in stipesdesk oan 'e telefoan wylst it ynterne nammen bleatleit oan 'e lokale resolver. In backuptunnel behâldt it belied, mar kin lânje op in útgongsadres dat de oare kant net akseptearret. Blokkearjen is goed foar in lean-VLAN en ferkeard foar in gastnetwurk dat de tunnel nea brûkt hat.
| Utkoms | Gesikt foar | Wat brekt |
|---|---|---|
| Backuptunnel | Belied moat hâlde, remote tagong nedich | Nij útgongsadres, weromrûte, stadiger kaaifernijing |
| Gewoane WAN | Gast- of allinnich iepenbier ferkear | Ynterne nammen, DNS- en IPv6-bleatstelling |
| Blokkearje | Lean, behear, alles allinnich-VPN | Brûkers ferlieze alle tagong en skilje jo |
Pas de detektor oan by de fout dy't jo echt freze
Handshake-steat, interface-steat en brûkber trochstjoeren binne trije ferskillende sinjalen, en foar in brûker jildt allinnich it lêste. In WireGuard-peer kin in resinte handshake sjen litte wylst de upstream fan 'e provider pakketten yn in swart gat smyt. OpenVPN de kliïnt kin op “ferbûn” bliuwe neidat de rûte dy't er treaun hat net mear oplost wurdt.
Op pfSense is de praktykse opstelling in gateway-groep dy't troch dpinger fieden wurdt, dy't in monitoaradres probet en in gateway as del markearret as ferlies of fertraging syn drompels oerstekt. Rjochtsje dat monitoren op eat bûten de tunnel, lykas in host op 'e fiere LAN of in iepenbier adres dat jo der troch berikke. It rjochtsje op it eigen peeradres fan 'e tunnel mjit it diel dat jo al witte dat it libbet.
Bou de groep sa dat de backup it lêste rêdmiddel bliuwt
Brûk lagen ynstee fan ien platte ledenlist. Primêr yn laach 1, backuptunnel yn laach 2, WAN yn laach 3 allinnich foar de VLAN's waans belied it tasteat. Yn pfSense sit dit ûnder System > Routing > Gateway Groups: foegje beide gateways ta, jou har ferskillende lagen, set Trigger Level op member down plus packet loss, bewarje en pas de groep dan ta as interface-standert of yn it Gateway-fjild fan 'e firewallregels dy't it nedich hawwe.
Foar in OpenVPN-kliïnteksimplaar op pfSense 2.5 en letter beslút de Default Gateway-ynstelling fan it eksimplaar oft de tunnel de systeemstandertrûte al of net ferfangt. Beliedsrouting by regel draacht him allinnich sa as jo ferwachtsje as de rûte dy't jo oannimme echt ynstallearre is. Kontrolearje Status > Gateways nei de wiziging ynstee fan op it tunnelstatysbyld te fertrouwen.
Twa ynstellingen feroarsaakje it measte flodderjen. Ien is in probe-ynterval koarter as de eigen werkonverginsje fan 'e provider. De oare is in groep wêr't primêr en backup in laach diele, sadat beide altyd geskikt bliuwe. Foegje hysterese ta fia ferlies- en fertragingsdrompels foardat jo brûkers de oergongen foar jo fiele.
Slút de paden dy't de tunnel nea besiet
Earst DNS-lekken. De resolver bliuwt antwurdzje op 'e WAN en stjoert dêr út, sadat nammen trochgean mei oplossen fia de ISP wylst ferkear oan 'e tunnel fêstset is. Behein de útgeande interfaces fan 'e resolver, triuw de ynterne resolver nei kliïnten en blokkearje poarte 53 foar al it oare op 'e allinnich-VPN-VLAN's.
IPv6 hat syn eigen beslút nedich. In dual-stack-LAN kin de tunnel ferlieze en in wurkjende globale IPv6-standertrûte hâlde, sadat browsers IPv6 foarkar jouwe en fia de WAN útgeane wylst IPv4 folslein ynsletten liket. Of rûte IPv6 de tunnel yn, of stop mei it oankundigjen fan in globale prefix wylst de tunnel del is. In heal belied is slimmer as gjin, want it liket te wurkjen.
Dan it werompaad. As de backup-útgong in oar boarneadres brûkt, moat de oare kant witte hoe't it ferkear dêr werom stjoerd wurdt, en elke steat dy't oan it âlde adres bûn is, is al dea. Sessies dy't iepen wiene doe't de primêre útfûl, migrearje net; se steane stil oant se ferrinne en de applikaasje beslút wat der mei te dwaan.
Test de fal, it flodderjen en it paad werom
Lûk de primêre derút mei harmless ferkear oan 'e gong, en lês dan fjouwer dingen: Status > Gateways foar de ledensteaten fan 'e groep, pfctl -ss foar steaten dy't noch oan 'e âlde gateway fêstset binne, in traceroute fan in kliïnt foar it útgongspaad en in resolver-fraach om te sjen hokker server antwurde.
Lit it no flodderje. Bring de primêre tritich sekonden omheech, tritich del, twa kear. As ferkear elke oergong efterfolget, binne de drompels te strak of binne de lagen ferkeard. Reparearje dat op jo eigen skema, want oars sil in provider dat op syn eigen dwaan.
Befêstigje op it lêst dat jo de router noch beheare kinne. Hâld in bûtenbânspaad lykas in konsolkabel, in behear-VLAN of in sellulêre modem. In failovertest dy't jo bûten slút is in test dy't jo net ôfmeitsje kinne, en in ûnberikbere router kin net fansels weromkomme.
Foardat jo it belied klear neame, moatte jo fjouwer fragen beantwurdzje kinne sûnder in terminal te iepenjen: hokker VLAN's meie de WAN brûke wylst de tunnel del is, wat de detektor besjocht en hoe lang er wachtet, hokker nammeservers en IPv6-rûtes mei it paad bewege, en hoe't jo wer binnenkomme as de backup ek mislearret. As ien antwurd “wat de standert ek wie” is, heart it belied noch by de router en net by jo.