Երկու IPsec դարպաս առանց ընդհանուր IP-ի՝ ինչ է իրականում անում ձախողման անցումը

Անջատեք A դարպասը հանդիպման ընթացքում և տեսեք, թե ինչպես թունելը մեկ րոպե անց վերադառնում է B-ի միջով. կապը աշխատում է, վիդեո զանգը՝ գուցե ոչ։ Սա անկախ հասցեներով երկու IPsec դարպասների միջև սառը ձախողման անցման ազնիվ ձևն է։ Հաճախորդը կրկին ընտրում է վերջնակետ և կառուցում նոր հարաբերություն, ինչը վերականգնում է հասանելիությունը՝ առանց հին նստաշրջանի գաղտնագրային վիճակը փոխանցելու։ Հերթականությանը հետևելը պարզ է դարձնում, թե որ խոստումները կարող է պահել նախագիծը։

Կարգավորեք տեսարանը՝ երկու հասցե, առանց լողացող IP

A դարպասը պատասխանում է մեկ հասանելի հասցեով, իսկ B դարպասը՝ մեկ այլով։ Հաճախորդն ունի B-ն ընտրելու հաստատված եղանակ, երբ A-ն անհետացել է, և չկա ընդհանուր արտաքին հասցե, որը երկու դարպասներն էլ պահանջեն։ Այս նախագծում վիրտուալ IP նշանակում է հենց այդ ընդհանուր մուտքի կետը, ոչ թե հեռահար մուտքի հաճախորդին տրված ներքին հասցեն։

Այս սահմանումը կարևոր է, որովհետև երկու գաղափարները խառնվում են տոմսերում, և մեկի ուղղումը մյուսի ուղղումը չէ։ Այն զեկույցը, որ ընդհանուր մուտքը չի հետևել դարպասին, նկարագրում է մեկ նախագիծ։ Այն զեկույցը, որ նոթբուքը կորցրել է իր ներքին հասցեն, նկարագրում է հաճախորդի վարձույթը։ Տարբեր սեփականատերեր, տարբեր մատյաններ, տարբեր վերանորոգումներ։

Անցեք ձախողման միջով՝ հայտնաբերել, ապա նորից ընտրել

Նախ ինչ-որ բան նկատում է, որ A-ն դադարել է պատասխանել։ Դա կարող է լինել մեռած գործընկերոջ հայտնաբերումը թունելի շերտում, երթուղային արձանագրություն, որը հետ է վերցնում ուղին, կամ հավելվածի ժամանակի սպառում, որն ի վերջո ստիպում է վերակապակցվել։ Յուրաքանչյուրն ունի այլ ժամանակային սանդղակ, և ամենադանդաղը սովորաբար որոշում է, թե որքան են սպասում օգտատերերը։

Այնուհետև հաճախորդն ընտրում է B-ն այն մեխանիզմով, որն աջակցում է տեղակայումը՝ երկրորդ կարգավորված հեռավոր կետ, առողջ հասցեի վերածված DNS անուն, կամ երթուղավորում, որն այժմ նախընտրում է այլ ուղի։ Ընտրությունը քաղաքականության քայլ է, և այն պետք է գոյություն ունենա ձախողումից առաջ, այլապես պատահաբար տեղի կունենա։

Ինչ կարող է և չի կարող ժառանգել B-ն

B-ն կարող է A-ի հետ կիսել կարգավորման ձևանմուշ, վկայագրերի մարմին և նույնականացման քաղաքականություն։ Այն չի կարող ժառանգել կենդանի անվտանգության միավորումները։ Նստաշրջանի բանալիները, անվտանգության պարամետրերի ինդեքսները և հերթականության վիճակը պատկանում են այն հարաբերությանը, որը ստեղծել են A-ն և հաճախորդը, և B-ն դրանցից ոչ մեկը չունի։

Այդ վիճակը դարպասների միջև տեղափոխելը իսկական ինժեներական խնդիր է, դրա համար էլ strongSwan-ի բարձր հասանելիության փաստաթղթերը դա դիտարկում են որպես կլաստերի նախագիծ, ոչ թե կարգավորման դրոշակ։ Կոնկրետ կլաստերի բաղադրատոմսը ընդհանուր պատասխան չէ ամպային ցանցի համար, և առանց աջակցող ենթակառուցվածքի այն պատճենելը բարդություն է գնում շարունակականության փոխարեն։

Նոր հարաբերության հաստատում

B-ն ընտրված լինելով՝ հաճախորդը կատարում է նոր IKE փոխանակում՝ նոր nonce արժեքներ, նոր Diffie-Hellman արժեքներ, նոր նույնացուցիչներ ստացվող միավորումների համար։ Նույնականացումը կրկին տեղի է ունենում B-ում։ Եթե նախագիծը հենվում է մեքենայական հավատարմագրերի վրա, վերակապակցումը կարող է անվերահսկելի լինել. եթե պահանջում է մարդկային գործոն, ինչ-որ մեկը պետք է ներկա լինի, որպեսզի ձախողման անցումն ավարտվի։

Սահմանեք այդ օգտատիրական փորձը ընդհատումից առաջ, ոչ դրա ընթացքում։ Հստակ ասեք, թե ինչ կանի հաճախորդը, ինչքան կփորձի և ինչ ցույց կտա, երբ հանձնվի, որովհետև մեկ րոպե վերակապակցման և աջակցության զանգի միջև տարբերությունը սովորաբար փաստաթղթերն ու փորձարկված պրոֆիլն են։

Նույն ներքին հասցեն պահելը օգնում է հավելվածներին, որոնք ակնկալում են կայուն տեղական ինքնություն, և այն չի պահպանում նրանց նստաշրջանները։ NAT կապակցումները սպառվում են, TCP միացումները վերակայվում են, և ցանկացած բան, որն ունի իր ժամանակի սահմանը, ինքնուրույն որոշում է՝ նորից փորձել, թե ոչ։

Երկու թունել զուգահեռ այլ նախագիծ է

Երկու թունելները միաժամանակ վարելը վավեր օրինակ է, երբ դա աջակցում են երկու դարպասներն ու երթուղավորման նախագիծը։ Այն ժամանակ երթուղու ընտրությունը ընտրում է ակտիվ ուղին, և վերադարձի ուղին պետք է համընկնի, այլապես երթևեկությունը դուրս է գալիս մի դարպասով և վերադառնում մյուսով՝ առանց այն համապատասխանեցնող վիճակի։

Համընկնող թունելային քաղաքականությունները ինքնուրույն կարգավորված ձախողման անցում չեն ստեղծում։ Դրանք ստեղծում են երկու թեկնածու, և ինչ-որ բան պետք է դետերմինիստորեն որոշի նրանց միջև՝ լինի դա երթուղային մետրիկա, քաղաքականության առաջնահերթություն, թե հաճախորդում բացահայտ նախապատվություն։

Ինչ ձև էլ ընտրեք, գրեք պայմանագիրը՝ ինչպես է հայտնաբերվում ձախողումը, ինչպես է ընտրվում այլընտրանքը, ինչ նույնականացում է պահանջում այն և որքան ժամանակ է ակնկալվում վերակապակցումը։ Ընդհանուր IP-ն կարող է պարզեցնել հայտնաբերումը, բայց այն շարունակական վիճակի հոմանիշ չէ, և հասանելիությունը ամեն դեպքում նախագիծ է։