Dva aktivna IPsec tunela i dalje trebaju plan povratnog puta

Otvori terminal na radnoj stanici na jednoj lokaciji i spoji se na poslužitelj na drugoj. Taj jedan TCP razgovor sada mora proći kroz četiri pristupnika umjesto dva, a zanimljivi dio nije radi li to na dobar dan. Zanimljivi dio je koji je par pristupnika odabrao smjer prema naprijed, koji par bira odgovor i tko drži stanje toka dok se to događa. Ništa u tablici usmjeravanja ne odlučuje to umjesto vas.

Nacrtaj četiri pristupnika prije nego nacrtaš rutu

Dvostruko aktivni dizajn s dva neovisna VPN vatrozida po lokaciji, jedan par po davatelju usluga, daje ti dva upotrebljiva puta i tri načina da ih pokvariš. Zapiši adrese prije nego bilo što konfiguriraš: klijent kako se vidi prije i poslije svakog pristupnika, poslužitelj isto tako, sljedeći skok naprijed i sljedeći skok natrag.

Ta tablica je dizajn. Sve poslije nje pitanje je slažu li se uređaji s tablicom.

Kako se bira put prema naprijed

Sloj višestaznog usmjeravanja s jednakim troškom raspoređuje tokove po sljedećim skokovima heširanjem polja zaglavlja, što RFC 2992 detaljno opisuje. Taj izbor može biti posve bezstanjan: ne treba mu unos praćenja veze, samo stabilan heš nad nepromijenjenim poljima. Drži skup putova i ulaze heša stalnima i svaki paket toka bira isti sljedeći skok.

Odabir po toku izbjegava preuređivanje koje bi uravnoteživanje paket po paket izazvalo na vezama s različitim kašnjenjima. Ne obećava da jednak trošak usmjeravanja znači jednako izmjereno kašnjenje, jer ne znači. A kad se sastav putova promijeni, tokovi se preslikavaju, pa je preživljavanje veze tijekom kvara zaseban zahtjev od odabira puta.

Što povratni put zapravo treba

Ovdje šetnja prestaje biti simetrična. Stabilan heš prema naprijed ne govori ti ništa o tome što će udaljena lokacija učiniti s odgovorom. Ako neovisni vatrozid mora vidjeti oba smjera veze da bi održao korisno stanje, povratna ruta koja ga zaobilazi ostavlja promet koji se ni s čim ne podudara. Dvije kutije sa sličnim skupovima pravila nisu dijeljeno stanje.

Potvrdi implementirano dvosmjerno ponašanje ili napiši izričitu politiku koja održava tražene granice koherentnima. Pretpostavka se ovdje otkrije tijekom ispada, od ljudi koji u tome ne uživaju.

Gdje prijevod odlučuje umjesto tebe

NAT je druga poluga i nije obavezan nego opcionalan. Prevedeni identiteti specifični za put mogu usmjeriti odgovore natrag prema pristupniku koji drži stanje, što je legitiman dizajn. Oni također dodaju preslikavanja, povratne rute i vlasnika tog stanja, pa prihvati teret samo za zahtjev koji možeš izgovoriti naglas.

Ako je zahtjev jednostavno da oba puta nose promet i da bilo koji preživi gubitak davatelja usluga, običan višestazni tok s koherentnim povratnim usmjeravanjem obično je manji dizajn.

Prođi prihvaćanje po redu

Testiraj ovim redoslijedom i bilježi adrese na svakom koraku: nova veza na putu A i njezin povratni put, isto na putu B, zatim gubitak jednog davatelja usluga, zatim obnova. Za svaki rezultat zabilježi koji su se uspostavljeni tokovi pomaknuli, koji su se morali ponovno spojiti i kamo su novi tokovi otišli poslije. Prvo zapiši očekivanu vrijednost, pa je usporedi sa snimkom. Dva uspostavljena tunela ne dokazuju ništa od toga.

Dizajn je gotov kada se tablica koju si napisao podudara s onim što snimka pokazuje, a ne kada su oba tunela podignuta.