VPN על פני מספר נתיבים: ארבע הבטחות שהמפעיל חייב לספק

הוסיפו קישור WAN שני והמנהרות עולות, אבל העתקת קובץ עדיין נתקעת כשנתיב אחד מתנודד. הקישורים בריאים ותהליכי ה-VPN פועלים; מה שחסר הוא חוזה בין המפעיל למנהרה. מספר שקעים אינם מתנהגים אוטומטית כחיבור אחד, והיישום שמעליהם אינו מבחין בהבדל עד שהמסירה נשברת. כל חלק בחוזה מתאים לכשל שאפשר לבדוק, וזה מה שהופך אותו לשימושי.

כתבו את החוזה לפני בחירת מוצר. יש בו ארבעה חלקים: הזרם שה-VPN מקבל, כיצד המפעיל משחזר נתונים חסרים, איזו זהות נקודת קצה שורדת שינוי נתיב, וכיצד הכל מתנהג כשנתיב נכשל.

התסמין: הקישורים פעילים, הסשן עדיין נשבר

גרף ניטור שמראה את שני הקישורים פעילים מוכיח רק שכל נתיב יכול לשאת תעבורה. הוא אינו מוכיח שה-VPN רואה זרם מסודר אחד, שמנותק שאבד בנתיב אחד משוחזר בנתיב אחר, או שהעמית עדיין יודע עם איזה סשן הוא מדבר. שאר החוזה מכסה את מה שהגרף אינו יכול להראות.

כשהעברה נתקעת, בררו אם המפעיל המשיך למסור בנתיב ששרד. אם הסשן מת בזמן שהקישור השני אינו פעיל, המפעיל מעולם לא השתמש בו. אם הסשן שורד אבל הנתונים מגיעים שלא לפי הסדר או כפולים, המפעיל מעביר מנות בלי חוזה ברמת החיבור. חותמות זמן משני הצדדים מבהירות זאת בדרך כלל.

ההבחנה הזו מכריעה את התיקון. בעיית ניתוב או מדיניות דורשת שינוי בחירת נתיב; שכבה חסרה של סדר ושחזור דורשת תעבורה אחרת, לא מאגר גדול יותר.

ההבטחה הראשונה: זרם בתים ברמת החיבור

אם ה-VPN זקוק לזרם מסודר ואמין, המפעיל חייב לזהות טווחי בתים מעל הנתיב הבודד. כל חיבור TCP בסיסי ממספר רק את המקטעים שלו, ולכן מקבל אינו יכול לסדר מחדש בין נתיבים באמצעות המספרים האלה בלבד.

Multipath TCP הוא הדוגמה התקנית. הוא מציג זרם בתים אמין אחד תוך תיאום כמה תתי-זרמי TCP, עם מיפוי רצף ואישור ברמת הנתונים. היישום קורא זרם, לא את תת-הזרם שבמקרה מסר פיסה ראשון.

ב-Linux, MPTCP הוא opt-in לכל שקע דרך IPPROTO_MPTCP. כשהמשא ומתן אינו יכול להשתמש בהתנהגות ריבוי נתיבים, נסיגת ברירת המחדל המתועדת היא TCP רגיל, כלומר היישום עשוי להמשיך בנתיב אחד בלי להשתמש בשני לעולם. בדקו איזו התנהגות השקע שנפרס באמת סיכם, במקום להניח שהגדרת הליבה חלה.

ההבטחה השנייה: סדר, כפילות ושחזור

נתיבים עם השהיות ושיעורי אובדן שונים מכריחים את המפעיל לבצע חוצץ, לסדר מחדש ולשלוח שוב. החוזה חייב לקבוע כמה חוצץ מותר, איזה לחץ נגדי היישום רואה ואיזה נתיב נושא שליחה חוזרת.

נתיב שנשאר מחובר אבל מפסיק למסור קשה יותר מסגירה נקייה. המפעיל חייב לזהות אותו, להעביר נתונים ממתינים ולהימנע מהמתנה אינסופית למקטע שלעולם לא יגיע. בדיקה פשוטה ששני הקישורים פעילים אינה מכסה את המצב הזה.

כפילות צריכה כלל משלה. שליחת אותו מטען בשני הנתיבים יכולה לשפר השהיה, אבל המקבל חייב לדכא את העותק לפני שהוא מגיע ל-VPN. הגנת anti-replay של IPsec היא אופציונלית לכל אסוציאציית אבטחה ובודקת מספרי רצף; שכבת כפילות שמסדרת מחדש או משחזרת מנות עלולה להפעיל אותה או להסתיר את הבעיה עד שהמנהרה נופלת.

ההבטחה השלישית: זהות נקודת הקצה והצטרפות נתיב

העמית זקוק לדרך יציבה לזהות את הסשן כשמופיע נתיב חדש. אם כל נתיב מאומת כמנהרה נפרדת, ה-VPN עשוי לראות שני סשנים במקום אחד. אם המפעיל מאחד נתיבים תחת סשן אחד, עליו להגדיר כיצד הנתיב החדש מאומת ומה קורה לישן.

תעדו אילו כתובות ומזהים נשארים יציבים: נקודת הקצה של המנהרה, מזהה הסשן של המפעיל וכל מתווך ביניהם. מתווך מוסיף עוד גבול זמינות ואמון גם כשהוא אינו רואה לעולם את המטען המוגן.

כאן גם יושבת המדיניות. נתיב שמצטרף מרשת לא צפויה יכול להיות תקף טכנית ועדיין להפר את מודל האמון המתוכנן. החליטו אם נתיבים חדשים מתקבלים אוטומטית, דורשים אימות או נדחים.

ההבטחה הרביעית: התנהגות חסומה תחת כשל

בדקו כשל נתיב מלא, לא רק נתיב איטי. הנתיב ששרד צריך לשאת את הסשן בלי גדילת זיכרון בלתי מוגבלת, והשחזור לא צריך להיות תלוי בטיימר ארוך ממה שהיישום סובל. כשהנתיב הכושל חוזר, המפעיל חייב להחליט אם לאזן מחדש או להשאיר את הזרימה במקומה.

קבעו מגבלות לחוצץ, לשליחה חוזרת ולמספר הנתיבים, ואז אמתו אותן תחת אובדן, סידור מחדש, כפילות וחוסר איזון בהשהיה. רוחב הפס הכולל הוא המספר הכי פחות מעניין כאן; המשכיות המסירה ומגבלות הזיכרון הם החוזה.

החזיקו את מצב השחזור של המפעיל בנפרד ממצב ההצפנה של ה-VPN. שכבת אמינות מותאמת שמחליפה אימות או הצפנה מבוססים אינה קיצור דרך, ושימוש חוזר במספרי רצף בין שכבות הופך את הגנת ה-replay והאבחון לבלתי אמינים.

קבלו את המפעיל עם תוכנית בדיקות

כתבו את ארבע ההבטחות כבדיקות עבר או נכשל: זרם מסודר אחד, שחזור מוגדר, זהות סשן יציבה, התנהגות כשל חסומה. הריצו כל בדיקה עם נתיב אחד מדורדר ואז עם נתיב אחד מוסר.

העברת קובץ אחת מוצלחת דרך שינוי נתיב אינה מוכיחה פעולה רציפה. חזרו על ההעברה תוך החלפת הנתיב המועדף, ובדקו גם את תצוגת המפעיל וגם את המונים של ה-VPN עצמו. אם השניים אינם מסכימים איזה נתיב נשא את הנתונים, החוזה עדיין אינו ניתן לצפייה.

שמרו את המטריצה המאושרת עם הפריסה. היא אומרת למהנדס הבא איזו התנהגות הובטחה, אילו צירופי נתיבים נבדקו ואיזה מצב כשל עדיין אינו נתמך, בלי עוד סיבוב ניחושים מאורות מצב הקישורים.