Teipeann an dara hiontráil VPN WAN agus an phríomhiontráil fós ag obair

Fanann an phríomhthollán in airde, leanann úsáideoirí orthu ag obair, agus luíonn an dara ciorcad ISP díomhaoin is cuma cad a athraíonn tú. D'fhoilsigh tú seoladh don chiorcad cúltaca, dhírígh tú ainm air, b'fhéidir gur chuir tú iontráil chúltaca leis an gcliant, agus ní dhéanann an cliant iarracht riamh air nó déanann sé fíordheimhniú agus faigheann sé bás ina dhiaidh sin. Sna cásanna a lean mé, bhí an ghné failover go maith de ghnáth; ba é an rud a bhí in easnamh ceann de na cúig rud a dhéanann iontráil inúsáidte. Is féidir le hainm réiteach go dtí an seoladh cúltaca agus rud ar bith ag éisteacht ar an gcomhéadan sin, agus is féidir le héisteoir ceangal a ghlacadh agus an freagra ag imeacht tríd an bpríomhcheann. Caith le gach WAN mar iontráil ar leithligh lena conradh féin agus stopann an teip de bheith ag breathnú cosúil le fabht cliaint.

Teastaíonn a chonradh iontrála féin ó gach WAN

Taifead cúig réimse in aghaidh gach WAN: an t-ainm agus an seoladh poiblí, an t-iompar agus an port, an comhéadan nó an comhthéacs a chríochnaíonn é, féiniúlacht an phiara a chaithfidh sé a chur i láthair, agus cá n-imíonn an freagra. Ciallaíonn dhá chiorcad dhá thacar iomlána. Mura bhfuil comhéadan críochnaithe nó cosán fillte ag an dara tacar, níl iontráil chúltaca agat; tá taifead DNS agat a chuireann síos ar intinn.

Caithfidh an gléas agus a eisiúint tacú leis an socrú freisin. Ní féidir le taifead DNS seirbhís a oscailt ar chomhéadan eile, agus ar a lán ardán cumraítear an t-éisteoir de réir seolta seachas de réir gléis. Ceanglaíonn IPsec bunaithe ar chomhéadan ar ASA léarscáileanna cripte agus grúpaí tolláin leis an gcomhéadan seachtrach, mar sin teastaíonn polasaí ón dara nasc suas san áit a dtagann na paicéid sin i ndáiríre. Iompraíonn dearaí bunaithe ar bhealaí iad féin go difriúil: féadfaidh an t-éisteoir ceangal le gach seoladh nó le seoladh ainmnithe amháin, agus socraíonn an rogha sin an féidir le ISP B freagra a thabhairt ar chor ar bith.

Seiceáil go dtagann an dara WAN i bhfreagra i ndáiríre

Tástáil ón taobh amuigh den dá chiorcad, ní ó mheaisín taobh thiar den gheata, agus tástáil an ainm bheacht a úsáideann próifíl an chliaint. I gcás éisteoir TLS, is é an tseiceáil thapa openssl s_client -connect ADDRESS:443 -servername vpn.example.com -showcerts arna rith ó óstach lasmuigh de do líonra. Teastaíonn cruthú láimhe críochnaithe uait a mheaitseálann a shlabhra an t-ainm sa phróifíl, ní hamháin port TCP a ghlacann ceangal.

RFC 9525 mínigh cad a sheiceálann an cliant: an fhéiniúlacht a raibh sé ag iarraidh a bhaint amach, i gcomparáid leis an teastas a chuireann an tseirbhís i láthair. Teipeann ar an dara hiontráil a thugann teastas na príomhiontrála ar ais, nó teastas réamhshocraithe nach liostaíonn ceachtar den dá ainm, an tástáil seo cé go bhfuil an port oscailte agus go gceadaíonn an balla dóiteáin é.

Míníonn dhá phatrún an chuid is mó de na teipeanna anseo. Ciallaíonn ceangal a chrochann go hiondúil nach bhfuil éisteoir ar an gcomhéadan sin, riail rochtana nach gceadaíonn ach na príomhfholíonraí, nó gléas iompróra os comhair an dara ciorcad a chaitheann an port. Ciallaíonn cruthú láimhe a chríochnaíonn leis an bhféiniúlacht mhícheart go hiondúil trustpoint eile, óstach fíorúil réamhshocraithe, nó cumraíocht a cóipeáladh ón bpríomhcheann gan an fhéiniúlacht a choigeartú.

Lean an freagra, ní hamháin an iarratas

Briseann an dara WAN go hiondúil ar an mbealach ar ais. Tagann iarratas isteach trí ISP B, tugann an gléas freagra, agus imíonn an freagra tríd an mbealach réamhshocraithe ar ISP A le seoladh foinse nár iarr an cliant riamh. Déanann aistriú stáit níos measa é: má tógadh an mhapáil don phríomhchomhéadan, cailleann an paicéad fillte an t-aistriú nó iompraíonn sé foinse a chaitheann balla dóiteáin an chliaint. Caitheann soláthraithe freisin seoltaí foinse nach mbaineann leis an gciorcad a thug siad duit, agus is é sin an fáth a bhfuil cuma poll dubh aonbhealaigh air seachas earráid phrótacail ghlan.

Seiceáil an cinneadh ródaithe don trácht a thagann ón dara hiontráil. Ba chóir don fhreagra an comhéadan a fhágáil ar a dtáinig an t-iarratas, nó ar a laghad seoladh a iompar a nglacann an taobh i bhfad leis mar rud a bhaineann leis an mbealach sin. Ar ardáin ródaithe de réir polasaí ciallaíonn sé sin riail atá nasctha leis an gcomhéadan isteach nó leis an bhfoinse aistrithe, móide ráiteas aistrithe atá ceangailte le gach comhéadan seachtrach. Gabh go comhuaineach ar an dá chomhéadan agus an cliant ag nascadh; socraíonn SYN a thagann ar ISP B leis an SYN-ACK ag imeacht ar ISP A an cheist in aon rith amháin.

Tabhair bealach don chliant foghlaim faoi iontráil a dó

Is cinneadh ar thaobh an chliaint é failover, agus foghlaimíonn gach teaghlach cliant faoi roghanna eile ar bhealach difriúil. Ar ASA seachadtar an liosta freastalaí cúltaca trí thréithe webvpn an pholasaí ghrúpa, agus bíonn cliaint eile ag súil le liosta laistigh den phróifíl nó le dara próifíl láimhe a roghnaíonn an t-úsáideoir. Cuireann treoir pholasaí nasctha Cisco síos ar fhaisnéis chúltaca atá cumraithe sa chliant agus ar an bhfaisnéis a sholáthraíonn an geata araon, agus níor cheart na sonraí sin atá sainiúil don phrótacal a ghinearálú do gach cliant nó mód tolláin. Deimhnigh cén mheicníocht a chuireann an cliant imscartha i bhfeidhm sula dtógfaidh tú an dara hiontráil timpeall ar an gceann mícheart.

Cibé meicníocht atá ann, caithfidh an cliant an t-ainm malartach a réiteach sula gcaillfidh sé an príomhbhealach. Is í an spleáchas sin an rud a chailleann daoine: má fhreagraíonn réiteoir atá inrochtana amháin tríd an tollán a theip anois díreach an t-ainm cúltaca, ní féidir leis an gcúltaca tosú ar chor ar bith. Foilsigh an dara hainm i réiteoir a fhreagraíonn go háitiúil nó thar an idirlíon. Bí ag súil le fíordheimhniú úr agus seisiún feidhmchláir úr tar éis an aistrithe, mar ní failover stáit é failover an chliaint agus ní mhaireann seisiúin fhadafhadacha é.

Is táirge eile é seoladh amháin ar dhá sholáthraí

Is seirbhís ródaithe é seoladh poiblí amháin a choinneáil inrochtana tríd an dá chiorcad, ní ticbhosca sa VPN. Teastaíonn spás seoladh uaidh a bhfuil an dá sholáthraí sásta a iompar, fógartha ar bhealach a nglacann a líonraí leis, agus is é sin a thugann ilóstáil le spás neamhspleách ar an soláthraí agus BGP. Ní thugann seoladh ISP A a shannadh do chomhéadan ISP B ann; sroicheann an paicéad líonra nár fhógair an réimír riamh agus caitear suas an abhainn é.

Níl aon cheann de sin ag teastáil uait chun dhá iontráil a fhoilsiú. Más féidir leis an gcliant dhá ainm a choinneáil agus teip eatarthu, is leor dhá iontráil neamhspleácha, agus seachnaíonn tú uimhir AS, comhaontú peering agus réimír nach mór a ghlacadh i ngach áit. Smaoinigh ar an rogha seoladh iniompartha amháin nuair a bhíonn gá dáiríre agat le pointe iontrála amháin cobhsaí nach féidir cliaint a athchumrú chun é a athsholáthar, nó nuair a bhíonn failover bunaithe ar DNS lena mhoill TTL rómhall don chliseadh a bhfuil tú ag dearadh ina choinne.

Cad a sheiceáil ansin

Oibrigh amach ón iontráil theipte san ord seo: an dtagann an dara seoladh i bhfreagra ón taobh amuigh, an gcuireann sé an fhéiniúlacht a bhfuil súil ag an gcliant léi i láthair, an n-imíonn an freagra an bealach ar tháinig an t-iarratas, agus an féidir leis an gcliant an t-ainm a fhoghlaim sula mbeidh sé ag teastáil. Nuair is é neamh an freagra, deisigh an ciseal sin agus ath-thástáil leis an bpróifíl imscartha seachas le hóstach tástála, mar cruthaíonn cruthú láimhe saotharlainne níos lú ná ceangal críochnaithe ón bhfíorchliant.

Coinnigh taifead gairid in aghaidh gach WAN, le seoladh, port, comhéadan críochnaithe, ainm teastais, cosán fillte agus riail aistrithe, agus athsheiceáil é gach uair a athraíonn ciorcad, gléas NAT nó leagan cliaint. Lobhann cosáin chúltaca díomhaoine go ciúin: ní thugann aon rud rabhadh faoin iontráil nach n-úsáideann aon duine go dtí an lá a mbíonn gach duine ag brath uirthi.