Hogyan építsünk VPN-failover szabályt a routeren szivárgások nélkül

A failover pontosan úgy működött, ahogy be volt állítva, és éppen ez volt a probléma. Amikor az elsődleges alagút kiesett, a router az alapértelmezett útvonalat a kábelmodemre tette át, a laptopok tovább böngésztek, és senki nem telefonált. Két nappal később valaki észrevette, hogy a pénzügyi megosztott mappa hat órán át elérhető volt a nyílt internetes útvonalon. A routeren működő VPN-failover szabály nem útválasztási trükk; döntés arról, mit tegyen a forgalom, amikor az előnyben részesített útvonal eltűnt, és ennek a döntésnek léteznie kell, mielőtt az útvonal eltűnik.

Az eredményt az érzékelő kiválasztása előtt döntse el

Általában három eredmény van az asztalon: az érintett klienseket tartalék alagúton átküldeni, hagyni, hogy a szokásos WAN-t használják, vagy teljesen blokkolni őket. Írja le, melyik melyik VLAN-ra, SSID-re vagy eszközosztályra vonatkozik. Egyetlen lapos “váltás WAN-ra” szabály az oka annak, hogy a fenti pénzügyi mappa nyilvános útvonalra került.

A három nem felcserélhető. A WAN-ra való visszaesés telefonon tartja a támogatást, miközben a belső neveket a helyi feloldónak tárja fel. A tartalék alagút megőrzi a szabályt, de olyan kilépési címre kerülhet, amelyet a másik fél nem fogad el. A blokkolás helyes a bérszámfejtési VLAN esetében, és helytelen egy vendéghálózatnál, amely soha nem használta az alagutat.

Az érzékelőt ahhoz a hibához igazítsa, amelytől valóban fél

A kézfogás állapota, az interfész állapota és a használható továbbítás három különböző jel, és a felhasználónak csak az utolsó számít. Egy WireGuard-társ friss kézfogást mutathat, miközben a szolgáltató felső folyama csomagokat dob a fekete lyukba. OpenVPN kliens “csatlakozva” állapotban maradhat, miután az általa nyomott útvonal már nem oldódik fel.

A pfSense-en a gyakorlati elrendezés egy dpinger által táplált átjárócsoport, amely figyelési címet vizsgál, és leállítottnak jelöl egy átjárót, amikor a veszteség vagy a késleltetés átlépi a küszöbértékeit. Irányítsa ezt a figyelést az alagúton túlra, például egy távoli LAN-on lévő gazdagépre vagy egy nyilvános címre, amelyet rajta keresztül ér el. Ha az alagút saját társ-címére irányítja, azt a részt méri, amelyről már tudja, hogy él.

Úgy építse fel a csoportot, hogy a tartalék maradjon az utolsó lehetőség

Szintek használjon egy lapos taglista helyett. Elsődleges az 1. szinten, tartalék alagút a 2. szinten, WAN a 3. szinten csak azoknál a VLAN-oknál, amelyek szabályzata engedi. A pfSense-en ez a System > Routing > Gateway Groups alatt található: adja hozzá mindkét átjárót, adjon nekik különböző szinteket, állítsa a Trigger Level-t member down plus packet loss értékre, mentse el, majd alkalmazza a csoportot az interfész alapértelmezéseként vagy az azt igénylő tűzfal-szabályok Gateway mezőjében.

A pfSense 2.5-es és újabb verzióin futó OpenVPN klienspéldány esetében a példány Default Gateway beállítása dönti el, hogy az alagút egyáltalán lecseréli-e a rendszer alapértelmezett útvonalát. A szabály szerinti házirend-útválasztás csak akkor viselkedik a várakozásnak megfelelően, ha az általa feltételezett útvonal valóban telepítve van. A változás után ellenőrizze a Status > Gateways lehetőséget, ahelyett hogy az alagút állapotikonjában bízna.

Két beállítás okozza a legtöbb rezgést. Az egyik a szolgáltató saját újrakonvergálásánál rövidebb vizsgálati intervallum. A másik egy olyan csoport, ahol az elsődleges és a tartalék szintet oszt meg, így mindkettő folyamatosan jogosult marad. Adjon hozzá hiszterézist a veszteség- és késleltetési küszöbökön keresztül, mielőtt a felhasználói Ön helyett éreznék az átmeneteket.

Zárja le azokat az útvonalakat, amelyek soha nem az alagúté voltak

Először a DNS-szivárgások. A feloldó továbbra is a WAN-on válaszol, és onnan továbbít kifelé, így a nevek továbbra is az internetszolgáltatón keresztül oldódnak fel, miközben a forgalom az alagúthoz van szögezve. Korlátozza a feloldó kimenő interfészeit, tolja a belső feloldót a kliensekhez, és blokkolja az 53-as portot minden más számára a csak-VPN VLAN-okon.

Az IPv6-nak saját döntés kell. Egy kettős veremű LAN elveszítheti az alagutat, és megtarthat egy működő globális IPv6-alapútvonalat, így a böngészők az IPv6-ot részesítik előnyben, és a WAN-on keresztül távoznak, miközben az IPv4 teljesen zártnak látszik. Vagy irányítsa az IPv6-ot az alagútba, vagy hagyjon fel a globális előtag hirdetésével, amíg az alagút le van állva. A fél szabályzat rosszabb a semminél, mert úgy tűnik, működik.

Aztán a visszaút. Ha a tartalék kilépés más forrás címet használ, a másik félnek tudnia kell, hogyan küldje vissza a forgalmat, és minden állapot, amely a régi címhez kötődik, már halott. Az elsődleges kiesésekor nyitott munkamenetek nem vándorolnak; megállnak, amíg le nem járnak, és az alkalmazás dönt, mit tesz.

Tesztelje a kiesést, a rezgést és a visszautat

Húzza ki az elsődlegest ártalmatlan forgalom mellett, majd olvasson négy dolgot: Status > Gateways a csoport tagjainak állapotaihoz, pfctl -ss a régi átjáróhoz még mindig szögezett állapotokhoz, traceroute-ot egy kliensről a kilépési útvonalhoz, és egy feloldó lekérdezést, hogy lássa, melyik szerver válaszolt.

Most rezegtesse. Vegye fel az elsődlegest harminc másodpercre, vegye le harmincra, kétszer. Ha a forgalom minden átmenetet követ, a küszöbök túl szigorúak, vagy a szintek rosszak. Javítsa ki a saját ütemezése szerint, mert különben egy szolgáltató a sajátja szerint fogja.

Végül erősítse meg, hogy továbbra is tudja adminisztrálni a routert. Tartson fenn egy sávon kívüli útvonalat, például konzolkábelt, felügyeleti VLAN-t vagy mobil modemet. Az a failover-teszt, amely kizárja Önt, olyan teszt, amelyet nem tud befejezni, és egy elérhetetlen router nem tud magától visszaállni.

Mielőtt késznek nyilvánítja a szabályzatot, négy kérdésre kell tudnia válaszolni terminál megnyitása nélkül: mely VLAN-ok használhatják a WAN-t, amíg az alagút le van állva, mit figyel az érzékelő és mennyit vár, mely névszerverek és IPv6-útvonalak mozognak az útvonallal, és hogyan jut vissza, ha a tartalék is meghibásodik. Ha bármely válasz “ami az alapértelmezés volt”, a szabályzat még mindig a routeré, nem Öné.