Segundo extremo VPN: que cobre e que non

Dous extremos sobre o papel parecen redundancia. Na práctica, unha segunda dirección só axuda cando os clientes poden alcanzala e cando evita o fallo para o que se prepara. Dous servidores detrás da mesma conexión de acceso, da mesma conta ou da mesma rede de destino fallan xuntos. A pregunta útil é que fallo único elimina o segundo extremo.

Compare que comparten ambos os extremos

Enumere que teñen en común os dous extremos antes de contar que duplican. A localización de aloxamento, a conta do provedor, o tránsito ascendente, o aloxamento DNS, a fonte de identidade e o recurso privado detrás do túnel representan unha dependencia compartida ou unha independente. Dúas máquinas virtuais nunha rexión comparten unha caída do provedor. Dúas rexións baixo unha soa conta seguen compartindo a relación de facturación e o plano de control que as crea.

A rede de destino merece o mesmo trato. Unha pasarela de reserva sana non pode restaurar un NAS que está fóra de liña, nin pode chegar a unha rede de oficina cuxo enlace ascendente está caído. Se ambos os extremos terminan na mesma subrede privada, o segundo só engade un camiño cara a un destino que xa é o único punto de fallo.

A identidade é a dependencia que a xente esquece. Clonar o certificado e a configuración nun segundo host crea dous lugares onde se pode copiar a mesma credencial, e non di nada sobre como chegan as revocacións a ambos.

Decida como cambia un cliente

Un segundo extremo só é útil se o cliente o coñece e pode seleccionalo sen chamar a soporte. Os perfís de conexión de OpenVPN poden levar varias liñas remote cunha política de selección, e a maioría dos clientes ofrecen un perfil alternativo nun menú. Sexa cal sexa o mecanismo, anote cal teñen os seus usuarios, porque un perfil que non atopan non é unha conmutación por erro.

Lea a documentación do cliente sobre cambios de enderezo durante unha sesión. Algunhas implementacións manteñen o par orixinal durante toda a vida do túnel e só consultan as alternativas ao reconectar. Esa distinción decide se un extremo morto produce unha interrupción breve ou unha sesión que nunca se recupera. Probe o camiño de reconexión en lugar de supor que ocorre.

Un enderezo de saída cambiado tamén rompe o estado da aplicación. A conmutación por erro é recuperación, e describila como continuidade ininterrompida crea unha expectativa que o transporte non pode cumprir.

Probe un fallo real

Escolla unha caída controlada e execútea de principio a fin, en lugar de confiar no documento de deseño. Deteña o extremo primario e confirme que un cliente autorizado chega á aplicación prevista pola alternativa mentres os clientes non autorizados seguen sen poder. Anote canto durou a conmutación e que viu a aplicación.

dig +short vpn2.example.net
ip route get 10.20.30.41
journalctl -u openvpn@backup --since '-10 min'

O primeiro comando confirma que o nome de reserva se resolve en algo encamiñable antes de que o necesite, e é a proba máis barata aquí. O segundo mostra que interface usaría o núcleo para un destino privado unha vez que a alternativa estea activa. O terceiro dá o rexistro do cliente co par ao que realmente se conectou, e é a única proba de que a conmutación ocorreu. Vixie tamén o comportamento de bloqueo durante o oco, porque unha política que filtra tráfico ao cambiar é peor que unha interrupción curta.

Despois devolva o orixinal e confirme se o cliente volve. Unha reversión que ocorre por accidente é un comportamento que ninguén planificou.

Anote que compra a segunda dirección

Resuma a cobertura nun parágrafo: que fallo elimina o segundo extremo, que fallos comparte co primeiro e de que suposicións depende a conmutación. Nomee o mecanismo do lado do cliente, así como as rutas privadas e o comportamento DNS que deben existir nos dous lugares. Unha saída pública a internet non substitúe unha pasarela privada, e un documento que as trata como intercambiables será crido. Engada a proba de recuperación que executou, coa data e o resultado.

A independencia dun servidor non é independencia da conta compartida nin da rede de destino. O parágrafo que o di en voz alta é o que impide vender internamente unha segunda dirección como alta dispoñibilidade. Tamén lle di ao seguinte operador que comprobar primeiro cando a parella falla á vez.