Dua gateway IPsec tanpa IP bersama: apa yang sebenarnya dilakukan failover

Matikan gateway A saat rapat dan lihat terowongan kembali lewat B satu menit kemudian; koneksinya berfungsi, panggilan video mungkin tidak. Itulah bentuk jujur dari failover dingin antara dua gateway IPsec dengan alamat independen. Klien memilih ulang titik akhir dan membangun hubungan baru, yang memulihkan keterjangkauan tanpa memindahkan status kriptografis sesi lama. Menelusuri urutannya membuat jelas janji mana yang bisa ditepati desain.

Siapkan panggung: dua alamat, tanpa IP mengambang

Gateway A menjawab di satu alamat yang dapat dijangkau dan gateway B di alamat lain. Klien punya cara yang disetujui untuk memilih B saat A hilang, dan tidak ada alamat luar bersama yang diklaim kedua gateway. Dalam desain ini, IP virtual berarti titik masuk bersama itu, bukan alamat dalam yang diberikan kepada klien akses jarak jauh.

Definisi itu penting karena kedua gagasan tercampur dalam tiket, dan perbaikan yang satu bukan perbaikan yang lain. Laporan bahwa pintu masuk bersama tidak mengikuti gateway menggambarkan satu desain. Laporan bahwa laptop kehilangan alamat dalamnya menggambarkan sewa klien. Pemilik berbeda, log berbeda, perbaikan berbeda.

Telusuri kegagalan: deteksi, lalu pilih ulang

Pertama sesuatu menyadari bahwa A berhenti menjawab. Itu bisa berupa deteksi peer mati di lapisan terowongan, protokol perutean yang menarik kembali jalur, atau batas waktu aplikasi yang akhirnya memaksa penyambungan ulang. Masing-masing punya skala waktu berbeda, dan yang paling lambat biasanya menentukan berapa lama pengguna menunggu.

Lalu klien memilih B melalui mekanisme apa pun yang didukung penerapan: remote kedua yang dikonfigurasi, nama DNS yang diselesaikan ke alamat sehat, atau perutean yang kini lebih memilih jalur berbeda. Pemilihan adalah langkah kebijakan, dan harus ada sebelum kegagalan atau akan terjadi secara kebetulan.

Apa yang bisa dan tidak bisa diwarisi B

B dapat berbagi templat konfigurasi, otoritas sertifikat, dan kebijakan autentikasi dengan A. Ia tidak dapat mewarisi asosiasi keamanan yang hidup. Kunci sesi, indeks parameter keamanan, dan status urutan milik hubungan yang dibangun A dan klien, dan B tidak memiliki satu pun.

Memindahkan status itu antar gateway adalah masalah teknik nyata, karena itu dokumentasi ketersediaan tinggi strongSwan memperlakukannya sebagai desain klaster, bukan sakelar konfigurasi. Resep klaster tertentu bukan jawaban umum untuk jaringan cloud, dan menyalinnya tanpa infrastruktur pendukung membeli kerumitan alih-alih kesinambungan.

Membangun hubungan baru

Dengan B dipilih, klien melakukan pertukaran IKE baru: nilai nonce baru, nilai Diffie-Hellman baru, pengenal baru untuk asosiasi yang dihasilkan. Autentikasi terjadi lagi di B. Jika desain bergantung pada kredensial mesin, penyambungan ulang bisa tanpa pengawasan; jika memerlukan faktor manusia, seseorang harus hadir agar failover selesai.

Tetapkan pengalaman pengguna itu sebelum gangguan, bukan selama gangguan. Katakan dengan jelas apa yang akan dilakukan klien, berapa lama ia mencoba, dan apa yang ditampilkan saat menyerah, karena perbedaan antara satu menit penyambungan ulang dan panggilan dukungan biasanya adalah dokumentasi dan profil yang teruji.

Mempertahankan alamat dalam yang sama membantu aplikasi yang mengharapkan identitas lokal stabil, dan tidak mempertahankan sesinya. Pengikatan NAT kedaluwarsa, koneksi TCP diatur ulang, dan apa pun dengan batas waktunya sendiri memutuskan secara mandiri apakah akan mencoba lagi.

Dua terowongan paralel adalah desain berbeda

Menjalankan kedua terowongan sekaligus adalah pola yang sah bila kedua gateway dan desain perutean mendukungnya. Pemilihan rute lalu memilih jalur aktif, dan jalur balik harus setuju, atau lalu lintas keluar lewat satu gateway dan kembali lewat gateway lain tanpa status yang mencocokkannya.

Kebijakan terowongan yang tumpang tindih tidak dengan sendirinya menciptakan failover yang tertib. Keduanya menciptakan dua kandidat, dan sesuatu harus memutuskan di antara keduanya secara deterministik, entah itu metrik perutean, prioritas kebijakan, atau preferensi eksplisit di klien.

Bentuk apa pun yang Anda pilih, tuliskan kontraknya: bagaimana kegagalan dideteksi, bagaimana alternatif dipilih, autentikasi apa yang diperlukan alternatif, dan berapa lama penyambungan ulang diperkirakan. IP bersama dapat menyederhanakan penemuan, tetapi itu bukan sinonim dari status berkelanjutan, dan ketersediaan tetap sebuah desain.