Druga VPN točka: što pokriva, a što ne

Dvije točke na papiru izgledaju kao rezerva. U praksi druga adresa pomaže samo kad klijenti mogu do nje doći i kad izbjegava kvar za koji se pripremate. Dva poslužitelja iza iste pristupne veze, istog računa ili iste ciljne mreže padaju zajedno. Korisno pitanje je koji jedini kvar druga točka uklanja.

Usporedite što obje točke dijele

Navedite što je zajedničko dvjema točkama prije nego što prebrojite što dupliciraju. Lokacija hostanja, račun kod pružatelja, upstream tranzit, DNS hostanje, izvor identiteta i privatni resurs iza tunela predstavljaju ili zajedničku ili neovisnu ovisnost. Dva virtualna stroja u jednoj regiji dijele ispad pružatelja. Dvije regije pod jednim računom i dalje dijele obračunski odnos i upravljačku ravninu koja ih stvara.

Ciljna mreža zaslužuje isti tretman. Zdrava rezervna pristupnica ne može vratiti NAS koji je izvan mreže i ne može doći do uredske mreže kojoj je uzlazna veza pala. Ako obje točke završavaju u istoj privatnoj podmreži, druga dodaje put do odredišta koje je već jedina točka otkaza.

Identitet je ovisnost koju ljudi zaboravljaju. Kloniranje certifikata i konfiguracije na drugi host stvara dva mjesta na kojima se isti akreditiv može kopirati i ne govori ništa o tome kako opozivi stižu do obaju.

Odlučite kako se klijent prebacuje

Druga točka korisna je samo ako klijent zna za nju i može je odabrati bez poziva podršci. OpenVPN profili veze mogu nositi nekoliko remote redaka s politikom odabira, a većina klijenata nudi alternativni profil u izborniku. Koji god mehanizam bio, zapišite koji imaju vaši korisnici, jer profil koji ne mogu pronaći nije prebacivanje.

Pročitajte dokumentaciju klijenta o promjenama adrese tijekom sesije. Neke implementacije zadržavaju izvornog partnera tijekom cijelog života tunela i alternativama se obraćaju samo pri ponovnom povezivanju. Ta razlika odlučuje stvara li mrtva točka kratak prekid ili sesiju koja se nikad ne oporavi. Testirajte put ponovnog povezivanja umjesto da pretpostavljate da se događa.

Promijenjena izlazna adresa kvari i stanje aplikacije. Prebacivanje je oporavak, a opisivanje toga kao neprekinutog kontinuiteta stvara očekivanje koje transport ne može ispuniti.

Testirajte jedan stvarni kvar

Odaberite jedan kontrolirani prekid i provedite ga od početka do kraja, umjesto da vjerujete projektnom dokumentu. Zaustavite primarnu točku, pa potvrdite da ovlašteni klijent dolazi do predviđene aplikacije preko alternative, dok neovlašteni klijenti i dalje ne mogu. Zabilježite koliko je prebacivanje trajalo i što je aplikacija vidjela.

dig +short vpn2.example.net
ip route get 10.20.30.41
journalctl -u openvpn@backup --since '-10 min'

Prva naredba potvrđuje da se ime rezerve razrješava u nešto rutabilno prije nego što vam zatreba, i to je najjeftiniji test ovdje. Druga pokazuje koje bi sučelje kernel koristio za privatno odredište kad alternativa bude podignuta. Treća daje klijentski dnevnik s imenom partnera s kojim se zaista povezao, a to je jedini dokaz da se prebacivanje dogodilo. Pazite i na ponašanje blokiranja tijekom praznine, jer politika koja propušta promet pri prebacivanju gora je od kratkog prekida.

Zatim vratite original i potvrdite vraća li se klijent. Vraćanje koje se dogodi slučajno ponašanje je koje nitko nije planirao.

Zapišite što druga adresa daje

Sažmite pokrivenost u jednom odlomku: koji kvar druga točka uklanja, koje kvarove dijeli s prvom i na kojim pretpostavkama počiva prebacivanje. Navedite mehanizam na strani klijenta te privatne rute i ponašanje DNS-a koje mora postojati na oba mjesta. Javni internetski izlaz nije zamjena za privatnu pristupnicu, a dokument koji ih tretira kao zamjenjive bit će vjerovan. Dodajte test oporavka koji ste izveli, s datumom i rezultatom.

Neovisnost od jednog poslužitelja nije neovisnost od zajedničkog računa ili ciljne mreže. Upravo odlomak koji to izgovara glasno sprječava da se druga adresa interno prodaje kao visoka dostupnost. On također govori sljedećem operateru što prvo provjeriti kad par padne zajedno.