Twadde VPN-einpunt: wat it dekt en wat net

Twa einpunten lykje op papier op oerstalligens. Yn ’e praktyk helpt in twadde adres allinnich as klanten it berikke kinne en as it de flater foarkomt dêr’t jo jo op tariede. Twa servers efter deselde tagongsferbining, deselde account of itselde doelnettwurk falle tegearre. De nuttige fraach is hokker inkelde flater it twadde einpunt fuorthellet.

Ferlykje wat beide einpunten diele

List op wat de twa einpunten mienskiplik hawwe foardat jo telle wat se dûbelje. Hostinglokaasje, provideraccount, upstream-transit, DNS-hosting, de identiteitsboarne en de private boarne efter de tunnel fertsjintwurdigje elk in dielde of in ûnôfhinklike ôfhinklikens. Twa firtuele masines yn ien regio diele in providerútfal. Twa regio’s ûnder ien account diele noch altyd de fakturaasjerelaasje en it kontrôleflak dat se oanmakket.

It doelnettwurk fertsjinnet deselde behanneling. In sûne reservegateway kin in NAS dy’t offline is net werstelle, en hy kin in kantoarnettwurk net berikke waans uplink del is. As beide einpunten yn itselde private subnet einigje, foeget it twadde allinnich in paad ta nei in bestimming dy’t al it ienige flaterpunt is.

Identiteit is de ôfhinklikens dy’t minsken ferjitte. It klonearjen fan it sertifikaat en de konfiguraasje nei in twadde host makket twa plakken dêr’t deselde credential kopyeare wurde kin, en it seit neat oer hoe’t ynlûken beide berikke.

Beslút hoe’t in klant oerskeakelt

In twadde einpunt is allinnich nuttich as de klant it ken en it sûnder in stipe-oprop selektearje kin. OpenVPN-ferbiningsprofielen kinne ferskate remote-rigels mei in seleksjebelied drage, en de measte klanten biede in alternatyf profyl yn in menu. Hokker meganisme ek, skriuw op hokker jo brûkers hawwe, want in profyl dat se net fine kinne is gjin failover.

Lês de klantdokumintaasje oer adresferoarings by in sesje. Guon ymplemintaasjes hâlde de oarspronklike peer foar de hiele libbensdoer fan de tunnel en rieplachtsje alternativen pas by opnij ferbinen. Dat ûnderskie beslút oft in dea einpunt in koarte ûnderbrekking jout of in sesje dy’t nea weromkomt. Test it werferbiningspaad ynstee fan te tinken dat it bart.

In feroare útgongsadres brekt ek de tastân fan ’e applikaasje. Failover is werstel, en it beskriuwen as ûnûnderbrutsen kontinuïteit skept in ferwachting dy’t it transport net foldwaan kin.

Test ien echte flater

Kies ien kontrolearre útfal en rin it fan begjin oant ein, ynstee fan it ûntwerpdokumint te fertrouwen. Stop it primêre einpunt en befêstigje dan dat in autorisearre klant de bedoelde applikaasje fia it alternatyf berikt, wylst net-autorisearre klanten noch altyd net kinne. Skriuw op hoelang’t de oerskeakeling duorre en wat de applikaasje seach.

dig +short vpn2.example.net
ip route get 10.20.30.41
journalctl -u openvpn@backup --since '-10 min'

It earste kommando befêstiget dat de reservenamme nei eat routber oplost foardat jo it nedich hawwe, en dat is hjir de goedkeapste test. It twadde lit sjen hokker ynterface de kearn brûke soe foar in private bestimming as it alternatyf omheech is. It tredde jout it klantloch mei de namme fan ’e peer dêr’t it echt mei ferbûn wie, en dat is it ienige bewiis dat de oerskeakeling barde. Hâld ek it blokkearjend gedrach yn ’e gat yn ’e gaten, want in belied dat by it oerskeakeljen ferkear lekt is slimmer as in koarte ûnderbrekking.

Bring dan it orizjineel werom en befêstigje oft de klant weromkomt. In weromfal dat by ûngelok bart is gedrach dêr’t nimmen op rekkene hie.

Skriuw op wat it twadde adres opleveret

Fetsje de dekking gear yn ien paragraaf: hokker flater it twadde einpunt fuorthellet, hokker flaters it mei it earste dielt, en op hokker oannames de oerskeakeling berêst. Neam it meganisme oan ’e klantkant plus de private rûtes en it DNS-gedrach dat op beide plakken bestean moat. In iepenbiere ynternetútgong is gjin ferfanging foar in private gateway, en in dokumint dat se as útwikselber behannelet sil leaud wurde. Foegje de wersteltest ta dy’t jo dien hawwe, mei de datum en it resultaat.

Ûnôfhinklikens fan ien server is gjin ûnôfhinklikens fan it dielde account of it doelnettwurk. Krekt de paragraaf dy’t dat lûd seit, hâldt tsjin dat in twadde adres yntern as hege beskikberens ferkocht wurdt. Hy fertelt ek de folgjende operator wat earst te kontrolearjen as it pear tegearre falt.