Egy VPN-fiók két szerveren: három állapotnyilvántartás

Egy fiók, amely két VPN-csomópont bármelyikére be tud jelentkezni, jóval a szoftverkérdés előtt tervezési kérdést vet fel. A fiók nézete, az egyes csomópontok saját hálózata és a csatlakozott kliens munkamenete három különböző állapotfajta, és másképp hibáznak, amikor ide-oda másolja őket. Mindhármat egy rendszerbe másolni gyakori módja annak, hogy elveszítsen egyet közülük.

Dolgozza át az alábbi három nyilvántartást sorrendben. Mindegyik azt kérdezi, mi a mérvadó, mi a helyi, és mi történik, ha a másik csomópont nincs ott, a válaszok pedig nem következnek egymásból.

Ki csatlakozhat: egy hatóság, sok csomópont

Kezdje a beengedési nyilvántartással: melyik identitásforrás mérvadó, mely tanúsítványkibocsátókban bíznak, mely fiókok jogosultak, melyik második tényező érvényes, és mit érhet el az egyes fiókok. Utána írja le, hogyan értesül minden csomópont a változásokról, és milyen gyorsan.

A megosztott adatbázis e válasz egy lehetséges összetevője. Nem bizonyítéka annak, hogy minden releváns szabályzat ott él, vagy hogy minden csomópont ugyanabban a pillanatban alkalmaz egy változást. Az A csomóponton letiltott, de a B csomóponton még elfogadott fiók azt jelenti, hogy a kiléptetési folyamat nem fejeződött be.

Döntse el, mit tesz egy csomópont, amikor a hatóság nem érhető el. A gyorsítótárazott hitelesítő adatok elfogadása kiesés idején biztonsági költséggel járó szabályzati döntés, elutasításuk pedig rendelkezésre állási költséggel járó szabályzati döntés. Mindkettő védhető; dokumentálatlanul hagyni nem.

Tartsa a kibocsátó hatóságát külön a fiókadatoktól. Több átjáró is megbízhat ugyanabban a CA-ban anélkül, hogy birtokolná annak aláíró kulcsát, és minden csomópontnak továbbra is szüksége van saját szervertanúsítványára és saját kliensoldali bizalmi kapcsolatára.

Mi van egy csomópont birtokában: címek és útvonalak

A második nyilvántartás csomópontonként helyi: figyelőcím, szerveridentitás, címkészlet, útvonalak a privát erőforrásokhoz, feloldószabályzat, és hogyan lép ki a forgalom az internet felé. Ugyanazt a fiókot bármelyik csomópont kiszolgálhatja, miközben ezek az objektumok különállók maradnak.

A visszaút az a rész, amely feledésbe merül. Ha mindkét csomópont ugyanabból a készletből oszt címeket, a privát hálózat nem tudja megmondani, melyik csomóponthoz tartozik egy adott kliens, és a válasz rossz helyre kerülhet. A különböző készleteknek is kellenek útvonalak és engedélyek, így egy elkülönült számtartomány nem teljes terv.

Irányítsa a klienseket szándékosan egy csomópontra. A DNS-választás, a kliensvégpont-listák és az előtér-szolgáltatás különböző mechanizmusok, eltérő egészség- és feladatátvételi viselkedéssel. Egyet választani rendben van; a „terheléselosztást” tervként kezelni definiálatlanul hagyja a visszautat és a hiba viselkedését.

Egy dokumentált termékpélda segít itt. A Pritunl replikációs dokumentációja a VPN-hálózatot replikánkénti objektumként kezeli, és a különböző replikákon lévő klienseknek további útvonalakra és kapcsolatra van szükségük, hogy elérjék egymást. Ez termékspecifikus elrendezés, nem recept a Community OpenVPN-hez, de megmutatja, miért változtatja meg a replika hozzáadása a hálózatot, és nem csak a fióktárat.

Mi a munkamenet: élő állapot, nem sor

A harmadik nyilvántartás az élő munkamenet. A csatlakozott kliensnek protokollállapota és hálózati hozzárendelése van azon a csomóponton, amely elfogadta. Az, hogy a fiók ismert a másik csomóponton, nem adja meg annak a csomópontnak a munkamenetet, a kulcsokat vagy a csomagok folytatásának képességét.

Legyen egyértelmű, mi történik, ha egy csomópont meghibásodik. A támogatott eredmény lehet az újracsatlakozás a másik csomóponthoz friss hitelesítéssel és új címmel, ami után az alkalmazás a maga módján helyreáll. Ha megszakítás nélküli átadás szükséges, annak a követelménynek kifejezett megvalósítási támogatás kell, nem adatbázis-replikációból levont következtetés. Írja le a választ ott, ahol az ügyeletes mérnök megtalálja.

A kapacitásszabályok ugyanezt a kezelést igénylik. A fiókonkénti két egyidejű munkamenet korlátja csak akkor kényszeríthető ki csomópontok között, ha valamelyik hatóságnak összehangolt képe van a foglalt helyekről. A csomópont-helyi listák és a történeti fióknyilvántartás nem adódnak össze ilyen képpé.

A három nyilvántartás kipróbálása

Gyakorolja mindegyiket külön. Jelentkezzen be az A csomóponton át, majd a B csomóponton át, és erősítse meg, hogy mindkettő sikerül a várt címtartományokkal. Vonjon vissza egy identitást, és ellenőrizze mindkét csomópontot, ne csak azt, amelyiket véletlenül tesztelt. Utána állítson le egy csomópontot, és figyelje meg, mit tesz valójában a kliens és a privát alkalmazás.

Foglalja bele a visszautat az átvételi tesztbe. Az a kliens, amely csatlakozik B-hez, de nem kap választ az A mögötti erőforrásról, átment a beengedési ellenőrzésen és megbukott a hálózatin, és ennek a különbségnek meg kell jelennie a jelentésben.

A többcsomópontos fiók terve csak akkor teljes, ha mindhárom nyilvántartásnak kifejezett tulajdonosa, változási útvonala és hiba-viselkedése van. A konfigurációs fájl csomópontok közötti másolása egyik kérdésre sem válaszol.