राउटर पर बिना लीक VPN फेलओवर नीति कैसे बनाएँ

फेलओवर ने ठीक वैसे ही काम किया जैसे कॉन्फ़िगर किया गया था, और यही समस्या थी। जब प्राथमिक टनल गिरी, राउटर ने डिफ़ॉल्ट रूट को केबल मॉडेम पर स्थानांतरित कर दिया, लैपटॉप ब्राउज़ करते रहे, और किसी ने फ़ोन नहीं किया। दो दिन बाद किसी ने देखा कि वित्तीय साझा फ़ोल्डर छह घंटे तक खुले इंटरनेट पथ पर पहुँच योग्य था। राउटर पर VPN फेलओवर नीति कोई रूटिंग तरकीब नहीं है; यह एक निर्णय है कि पसंदीदा पथ जाने के बाद ट्रैफ़िक क्या करे, और यह निर्णय पथ के गायब होने से पहले मौजूद होना चाहिए।

डिटेक्टर चुनने से पहले परिणाम तय करें

आम तौर पर तीन परिणाम मेज़ पर होते हैं: प्रभावित क्लाइंट को बैकअप टनल से भेजना, उन्हें सामान्य WAN इस्तेमाल करने देना, या उन्हें पूरी तरह ब्लॉक करना। लिख लें कि कौन किस VLAN, SSID या डिवाइस श्रेणी पर लागू होता है। एक ही सपाट “WAN पर जाएँ” नियम ही वजह है कि ऊपर का वित्तीय फ़ोल्डर सार्वजनिक पथ पर पहुँचा।

ये तीन विनिमेय नहीं हैं। WAN पर लौटना सहायता डेस्क को फ़ोन उठाते रखता है जबकि आंतरिक नाम स्थानीय रिज़ॉल्वर को उजागर करता है। बैकअप टनल नीति बनाए रखती है पर ऐसे एग्ज़िट पते पर उतर सकती है जिसे दूसरा पक्ष स्वीकार नहीं करता। ब्लॉक करना पेरोल VLAN के लिए सही और ऐसे अतिथि नेटवर्क के लिए गलत है जिसने कभी टनल इस्तेमाल नहीं की।

डिटेक्टर को उस विफलता से मिलाएँ जिससे आप सचमुच डरते हैं

हैंडशेक स्थिति, इंटरफ़ेस स्थिति और उपयोगी फ़ॉरवर्डिंग तीन अलग संकेत हैं, और उपयोगकर्ता के लिए केवल अंतिम मायने रखता है। WireGuard पीयर हाल का हैंडशेक दिखा सकता है जबकि प्रदाता का अपस्ट्रीम पैकेट किसी काले छेद में फेंक रहा हो। OpenVPN क्लाइंट “कनेक्टेड” पर बैठा रह सकता है, जब उसके धकेले गए रूट का रिज़ॉल्यूशन बंद हो चुका हो।

pfSense पर व्यावहारिक व्यवस्था dpinger द्वारा पोषित गेटवे समूह है, जो एक निगरानी पता जाँचता है और हानि या विलंबता उसकी सीमा पार करने पर गेटवे को डाउन चिह्नित करता है। उस निगरानी को टनल से परे किसी चीज़ पर लक्षित करें, जैसे दूर के LAN का होस्ट या कोई सार्वजनिक पता जहाँ आप उसके रास्ते पहुँचते हैं। उसे टनल के अपने पीयर पते पर लक्षित करना उस हिस्से को मापता है जिसे आप पहले से जीवित जानते हैं।

समूह ऐसे बनाएँ कि बैकअप अंतिम उपाय रहे

एक सपाट सदस्य सूची के बजाय स्तर इस्तेमाल करें। प्राथमिक स्तर 1 में, बैकअप टनल स्तर 2 में, WAN स्तर 3 में केवल उन VLAN के लिए जिनकी नीति अनुमति देती है। pfSense में यह System > Routing > Gateway Groups के अंतर्गत है: दोनों गेटवे जोड़ें, उन्हें अलग स्तर दें, Trigger Level को member down plus packet loss पर सेट करें, सहेजें, और फिर समूह को इंटरफ़ेस डिफ़ॉल्ट के रूप में या उन फ़ायरवॉल नियमों के Gateway फ़ील्ड में लागू करें जिन्हें इसकी ज़रूरत है।

pfSense 2.5 और बाद के संस्करणों पर OpenVPN क्लाइंट इंस्टेंस के लिए, इंस्टेंस की Default Gateway सेटिंग तय करती है कि टनल सिस्टम के डिफ़ॉल्ट रूट को बदलती है या नहीं। नियम-आधारित नीति रूटिंग तभी अपेक्षा के अनुसार व्यवहार करती है जब आप जो रूट मान रहे हैं वह वास्तव में इंस्टॉल हो। बदलाव के बाद Status > Gateways जाँचें, टनल स्थिति आइकन पर भरोसा करने के बजाय।

दो सेटिंग्स ज़्यादातर फ़्लैपिंग पैदा करती हैं। एक तो प्रदाता के अपने पुनःसंयोजन से छोटा प्रोब अंतराल है। दूसरी वह समूह है जिसमें प्राथमिक और बैकअप एक ही स्तर साझा करते हैं, इसलिए दोनों हर समय योग्य रहते हैं। उपयोगकर्ता आपके बदले बदलाव महसूस करें उससे पहले हानि और विलंबता सीमाओं के ज़रिए हिस्टैरिसिस जोड़ें।

वे पथ बंद करें जिन पर टनल का कभी अधिकार नहीं था

पहले DNS लीक। रिज़ॉल्वर WAN पर उत्तर देता रहता है और वहीं से आगे भेजता है, इसलिए ट्रैफ़िक टनल पर टिका होने पर भी नाम ISP के ज़रिए हल होते रहते हैं। रिज़ॉल्वर के आउटबाउंड इंटरफ़ेस सीमित करें, आंतरिक रिज़ॉल्वर क्लाइंट तक धकेलें, और केवल-VPN VLAN पर बाकी सबके लिए पोर्ट 53 ब्लॉक करें।

IPv6 को अपना निर्णय चाहिए। दोहरे स्टैक वाला LAN टनल खो सकता है और काम करता वैश्विक IPv6 डिफ़ॉल्ट रूट बनाए रख सकता है, इसलिए ब्राउज़र IPv6 को प्राथमिकता देते हैं और WAN से बाहर जाते हैं जबकि IPv4 पूरी तरह सीमित दिखता है। या तो IPv6 को टनल में रूट करें या टनल डाउन रहने पर वैश्विक प्रीफ़िक्स का विज्ञापन बंद करें। आधी नीति किसी से भी बुरी है, क्योंकि वह काम करती दिखती है।

फिर वापसी पथ। अगर बैकअप एग्ज़िट अलग स्रोत पता इस्तेमाल करता है, तो दूसरे पक्ष को जानना होगा कि ट्रैफ़िक वहाँ वापस कैसे भेजा जाए, और पुराने पते से बँधी हर स्थिति पहले ही मृत है। प्राथमिक गिरने के समय खुली सेशन स्थानांतरित नहीं होतीं; वे समाप्त होने तक अटकी रहती हैं और एप्लिकेशन तय करता है कि क्या करना है।

गिरना, फ़्लैपिंग और वापस आने का रास्ता परखें

हानिरहित ट्रैफ़िक चलते समय प्राथमिक खींचें, फिर चार चीज़ें पढ़ें: Status > Gateways समूह के सदस्यों की स्थिति के लिए, pfctl -ss पुराने गेटवे पर अटकी स्थितियों के लिए, एग्ज़िट पथ के लिए क्लाइंट से traceroute, और यह देखने के लिए रिज़ॉल्वर क्वेरी कि किस सर्वर ने उत्तर दिया।

अब इसे फ़्लैप करें। प्राथमिक को तीस सेकंड ऊपर, तीस नीचे, दो बार लें। अगर ट्रैफ़िक हर बदलाव का पीछा करता है, तो सीमाएँ बहुत कसी हैं या स्तर गलत हैं। इसे अपने शेड्यूल पर ठीक करें, क्योंकि वरना प्रदाता इसे अपने शेड्यूल पर करेगा।

अंत में पुष्टि करें कि आप अब भी राउटर का प्रबंधन कर सकते हैं। कंसोल केबल, प्रबंधन VLAN या सेलुलर मॉडेम जैसा आउट-ऑफ़-बैंड पथ रखें। ऐसा फेलओवर परीक्षण जो आपको बाहर बंद कर दे, वह परीक्षण है जिसे आप पूरा नहीं कर सकते, और अगम्य राउटर अपने आप वापस नहीं आ सकता।

नीति को पूर्ण कहने से पहले आपको टर्मिनल खोले बिना चार प्रश्नों के उत्तर देने आने चाहिए: टनल डाउन रहने पर कौन से VLAN WAN इस्तेमाल कर सकते हैं, डिटेक्टर क्या देखता है और कितनी देर प्रतीक्षा करता है, कौन से नेम सर्वर और IPv6 रूट पथ के साथ चलते हैं, और बैकअप भी विफल हो तो आप फिर कैसे अंदर आते हैं। अगर कोई उत्तर “जो डिफ़ॉल्ट था वही” हो, तो नीति अब भी राउटर की है, आपकी नहीं।