લીક વિના રાઉટર પર VPN ફેઇલઓવર નીતિ કેવી રીતે બનાવવી
પ્રિય ટનલ પડે ત્યારે ટ્રાફિક શું કરે તે નક્કી કરો: બેકઅપ ટનલ, સામાન્ય WAN કે બ્લોક। પછી તેને રાઉટર પર બનાવો અને પરીક્ષણ કરો।
ફેઇલઓવર બરાબર એ રીતે કામ કર્યું જેમ તે ગોઠવાયું હતું, અને એ જ સમસ્યા હતી। જ્યારે પ્રાથમિક ટનલ પડી, રાઉટરે ડિફોલ્ટ રૂટને કેબલ મોડેમ પર ખસેડ્યો, લેપટોપ બ્રાઉઝિંગ ચાલુ રાખ્યું, અને કોઈએ ફોન કર્યો નહીં। બે દિવસ પછી કોઈએ જોયું કે ફાઇનાન્સ શેર છ કલાક સુધી ખુલ્લા ઇન્ટરનેટ માર્ગ પર પહોંચી શકાય તેવો હતો। રાઉટર પરની VPN ફેઇલઓવર નીતિ કોઈ રૂટિંગ યુક્તિ નથી; તે એ નિર્ણય છે કે પ્રિય માર્ગ ગયા પછી ટ્રાફિક શું કરે, અને એ નિર્ણય માર્ગ અદૃશ્ય થાય તે પહેલાં જ હોવો જોઈએ।
ડિટેક્ટર પસંદ કરતા પહેલાં પરિણામ નક્કી કરો
સામાન્ય રીતે ત્રણ પરિણામો મેજ પર હોય છે: અસરગ્રસ્ત ક્લાયન્ટને બેકઅપ ટનલ દ્વારા મોકલવા, તેમને સામાન્ય WAN વાપરવા દેવા, અથવા તેમને સંપૂર્ણ બ્લોક કરવા। કયું કઈ VLAN, SSID કે ઉપકરણ વર્ગને લાગુ પડે તે લખો। એક જ સપાટ “WAN પર જાઓ” નિયમ એ છે કે ઉપરનો ફાઇનાન્સ શેર જાહેર માર્ગ પર કેવી રીતે પહોંચ્યો।
આ ત્રણે એકબીજાના બદલે વાપરી શકાય તેવા નથી। WAN ફોલબેક સપોર્ટ ડેસ્કને ફોનના જવાબ આપતું રાખે છે જ્યારે સ્થાનિક રિઝોલ્વરને આંતરિક નામો ખુલ્લાં કરે છે। બેકઅપ ટનલ નીતિ જાળવે છે પણ એવા એગ્ઝિટ સરનામે ઉતરી શકે છે જે બીજી બાજુ સ્વીકારતી નથી। બ્લોકિંગ પેરોલ VLAN માટે યોગ્ય છે અને એવા ગેસ્ટ નેટવર્ક માટે ખોટું છે જેણે કદી ટનલ વાપરી નથી।
| પરિણામ | કોના માટે યોગ્ય | શું તૂટે છે |
|---|---|---|
| બેકઅપ ટનલ | નીતિ ટકવી જોઈએ, રિમોટ એક્સેસ જરૂરી | નવું એગ્ઝિટ સરનામું, રિટર્ન રૂટ, ધીમી કી રિન્યુઅલ |
| સામાન્ય WAN | ગેસ્ટ કે ફક્ત જાહેર ટ્રાફિક | આંતરિક નામો, DNS અને IPv6 એક્સપોઝર |
| બ્લોક | પેરોલ, એડમિન, ફક્ત-VPN જે પણ હોય | વપરાશકર્તાઓ બધી એક્સેસ ગુમાવે છે અને તમને ફોન કરે છે |
ડિટેક્ટરને એ નિષ્ફળતા સાથે મેળવો જેનાથી તમે ખરેખર ડરો છો
હેન્ડશેક સ્થિતિ, ઇન્ટરફેસ સ્થિતિ અને વાપરી શકાય તેવું ફોરવર્ડિંગ ત્રણ અલગ સંકેતો છે, અને વપરાશકર્તા માટે ફક્ત છેલ્લું જ મહત્ત્વનું છે। WireGuard પીઅર તાજેતરનો હેન્ડશેક બતાવી શકે છે જ્યારે પ્રોવાઇડરનું અપસ્ટ્રીમ પેકેટ કાળા ખાડામાં ફેંકે છે। OpenVPN ક્લાયન્ટ “કનેક્ટેડ” પર બેસી શકે છે પછી જ્યારે તેણે ધકેલેલો રૂટ હલ થવાનું બંધ થાય।
pfSense પર વ્યવહારુ ગોઠવણ એ dpinger થી પોષાતો ગેટવે જૂથ છે, જે મોનિટર સરનામું તપાસે છે અને નુકસાન કે લેટન્સી તેની થ્રેશોલ્ડ વટાવે ત્યારે ગેટવેને ડાઉન તરીકે ચિહ્નિત કરે છે। એ મોનિટરને ટનલની બહાર કંઈક પર દિશામાન કરો, જેમ કે દૂરના LAN પરનો હોસ્ટ કે જાહેર સરનામું જ્યાં તમે તેનાથી પહોંચો છો। તેને ટનલના પોતાના પીઅર સરનામે દિશામાન કરવાથી એ ભાગ માપાય છે જે તમે પહેલેથી જાણો છો કે જીવંત છે।
જૂથ એવી રીતે બનાવો કે બેકઅપ છેલ્લો ઉપાય રહે
એક સપાટ સભ્ય યાદીને બદલે સ્તરો વાપરો। પ્રાથમિક સ્તર 1 માં, બેકઅપ ટનલ સ્તર 2 માં, WAN સ્તર 3 માં ફક્ત એ VLAN માટે જેમની નીતિ પરવાનગી આપે। pfSense માં આ System > Routing > Gateway Groups હેઠળ છે: બંને ગેટવે ઉમેરો, તેમને અલગ સ્તરો આપો, Trigger Level ને member down plus packet loss પર સેટ કરો, સાચવો, પછી જૂથને ઇન્ટરફેસ ડિફોલ્ટ તરીકે કે જેને જરૂર હોય તે ફાયરવોલ નિયમોના Gateway ફીલ્ડમાં લાગુ કરો।
pfSense 2.5 અને પછીના સંસ્કરણો પર OpenVPN ક્લાયન્ટ ઇન્સ્ટન્સ માટે, ઇન્સ્ટન્સનું Default Gateway સેટિંગ નક્કી કરે છે કે ટનલ સિસ્ટમના ડિફોલ્ટ રૂટને બદલે છે કે નહીં। નિયમ દ્વારા પોલિસી રૂટિંગ ત્યારે જ અપેક્ષા મુજબ વર્તે છે જ્યારે તમે ધારો છો તે રૂટ ખરેખર ઇન્સ્ટોલ થયેલો હોય। પછી Status > Gateways તપાસો, ટનલ સ્થિતિ આઇકોન પર ભરોસો કરવાને બદલે।
બે સેટિંગ્સ મોટાભાગનું ફ્લેપિંગ કરે છે। એક પ્રોવાઇડરના પોતાના રિકન્વર્જન્સ કરતાં ટૂંકું પ્રોબ ઇન્ટરવલ છે। બીજું એવું જૂથ છે જ્યાં પ્રાથમિક અને બેકઅપ સ્તર વહેંચે છે, તેથી બંને હંમેશા લાયક રહે છે। તમારા વપરાશકર્તાઓ તમારા વતી પરિવર્તનો અનુભવે તે પહેલાં નુકસાન અને લેટન્સી થ્રેશોલ્ડ દ્વારા હિસ્ટેરેસિસ ઉમેરો।
ટનલે કદી ધરાવ્યા ન હોય તેવા માર્ગો બંધ કરો
પહેલા DNS લીક। રિઝોલ્વર WAN પર જવાબ આપવાનું ચાલુ રાખે છે અને ત્યાંથી ફોરવર્ડ કરે છે, તેથી ટ્રાફિક ટનલ સાથે પિન થયેલો હોય ત્યારે નામો ISP દ્વારા હલ થતાં રહે છે। રિઝોલ્વરના આઉટબાઉન્ડ ઇન્ટરફેસ મર્યાદિત કરો, આંતરિક રિઝોલ્વર ક્લાયન્ટ તરફ ધકેલો, અને ફક્ત-VPN VLAN પર બાકીના બધા માટે પોર્ટ 53 બ્લોક કરો।
IPv6 ને પોતાનો નિર્ણય જોઈએ। ડ્યુઅલ-સ્ટેક LAN ટનલ ગુમાવી શકે છે અને કામ કરતો વૈશ્વિક IPv6 ડિફોલ્ટ રૂટ રાખી શકે છે, તેથી બ્રાઉઝર IPv6 ને પ્રાધાન્ય આપે છે અને WAN દ્વારા બહાર જાય છે જ્યારે IPv4 સંપૂર્ણ રીતે નિયંત્રિત દેખાય છે। કાં તો IPv6 ને ટનલમાં રૂટ કરો અથવા ટનલ ડાઉન હોય ત્યારે વૈશ્વિક પ્રીફિક્સની જાહેરાત બંધ કરો। અડધી નીતિ કરતાં ન હોવી સારી છે, કારણ કે તે કામ કરતી હોય તેમ લાગે છે।
પછી રિટર્ન પાથ। જો બેકઅપ એગ્ઝિટ અલગ સ્રોત સરનામું વાપરે, તો બીજી બાજુએ જાણવું જોઈએ કે ટ્રાફિક ત્યાં પાછો કેવી રીતે મોકલવો, અને જૂના સરનામા સાથે બંધાયેલી દરેક સ્થિતિ પહેલેથી મૃત છે। પ્રાથમિક પડ્યો ત્યારે ખુલ્લા હતા તે સેશન સ્થળાંતરિત થતા નથી; તેઓ સમાપ્ત થાય ત્યાં સુધી અટકી જાય છે અને એપ્લિકેશન નક્કી કરે છે કે શું કરવું।
પડવું, ફ્લેપ અને પાછા આવવાનો માર્ગ ચકાસો
નિરુપદ્રવી ટ્રાફિક ચાલુ હોય ત્યારે પ્રાથમિક ખેંચો, પછી ચાર વસ્તુઓ વાંચો: Status > Gateways જૂથના સભ્ય સ્થિતિઓ માટે, pfctl -ss હજી જૂના ગેટવે સાથે પિન થયેલી સ્થિતિઓ માટે, એગ્ઝિટ પાથ માટે ક્લાયન્ટથી traceroute, અને કયો સર્વર જવાબ આપ્યો તે જોવા રિઝોલ્વર ક્વેરી।
હવે તેને ફ્લેપ કરો। પ્રાથમિકને ત્રીસ સેકન્ડ ઉપર, ત્રીસ નીચે, બે વાર લો। જો ટ્રાફિક દરેક સંક્રમણને અનુસરે, તો થ્રેશોલ્ડ ખૂબ ચુસ્ત છે અથવા સ્તરો ખોટા છે। તેને તમારા સમયપત્રક પ્રમાણે સુધારો, કારણ કે નહીં તો પ્રોવાઇડર તેને પોતાના પ્રમાણે કરશે।
છેલ્લે, ખાતરી કરો કે તમે હજી રાઉટરનું સંચાલન કરી શકો છો। કન્સોલ કેબલ, મેનેજમેન્ટ VLAN કે સેલ્યુલર મોડેમ જેવો આઉટ-ઓફ-બેન્ડ માર્ગ રાખો। જે ફેઇલઓવર પરીક્ષણ તમને લૉક આઉટ કરે તે એવું પરીક્ષણ છે જે તમે પૂરું કરી શકતા નથી, અને અપહંચ રાઉટર પોતાની જાતે પાછો આવી શકતો નથી।
નીતિને પૂર્ણ કહેતા પહેલાં, ટર્મિનલ ખોલ્યા વિના ચાર પ્રશ્નોના જવાબ આપી શકવા જોઈએ: ટનલ ડાઉન હોય ત્યારે કઈ VLAN WAN વાપરી શકે, ડિટેક્ટર શું નિહાળે છે અને કેટલી વાર રાહ જુએ છે, કયા નામ સર્વરો અને IPv6 રૂટ માર્ગ સાથે ખસે છે, અને બેકઅપ પણ નિષ્ફળ જાય તો તમે ફરી કેવી રીતે અંદર આવો છો। જો કોઈ જવાબ “ડિફોલ્ટ જે હતું તે” હોય, તો નીતિ હજી રાઉટરની છે, તમારી નહીં।