Memperpendek Timer DPD Tidak Membuat Failover VPN Lebih Cepat

Tunnel putus, pemulihan memakan sembilan puluh detik, dan timer peer mati diatur ke sepuluh, sehingga timer disalahkan. Penalaran itu melewatkan tiga tahap yang terjadi setelah deteksi dan biasanya menghabiskan sebagian besar waktu. Deteksi keaktifan menyadari keheningan; lalu pemilihan peer, autentikasi, pemasangan rute, dan penyambungan ulang aplikasi masing-masing mengambil giliran. Memperpendek tahap pertama tidak dapat memperpendek tahap lainnya, dan dapat menambah gejolak pada sistem yang sudah kesulitan.

Empat tahap, salah satunya dapat Anda ukur waktunya

Tuliskan pemulihan sebagai empat peristiwa dengan stempel waktu. Kegagalan menjadi teramati: lalu lintas terlindungi terakhir yang berguna dan permintaan pertama yang gagal. Mekanisme pemilik bereaksi: deteksi keaktifan, pemantau rute, atau pemicu terdokumentasi lainnya. Alternatif menjadi dapat digunakan: pemilihan peer, autentikasi, asosiasi baru, dan rute yang benar-benar membawa lalu lintas yang dimaksud. Aplikasi pulih: operasi baru berhasil dan apa pun yang sedang berjalan memiliki hasil yang jelas.

Aturan keaktifan IKEv2 menjelaskan bukti tentang peer dan pertukarannya, dan tidak mengatakan apa pun tentang basis data atau layanan berkas di belakang peer itu. Membaca waktu tunggu keaktifan sebagai pemeriksaan kesehatan seluruh jalur adalah kesalahan yang memulai perburuan timer.

Mengapa timer adalah angka yang paling tidak menarik

Nilai yang dikonfigurasi bukan satuan yang dapat dipertukarkan. Sebagian adalah interval percobaan ulang, sebagian batas atas suatu percobaan, dan sebagian berjalan bersamaan dengan yang lain. Menjumlahkannya menghasilkan angka yang tampak seperti prediksi dan berperilaku seperti desas-desus. Bacalah dokumentasi untuk bidang yang akan Anda sentuh, dan catat mana dari tiga jenis itu.

Tahap lain sama sekali bukan timer. Jeda penyambungan ulang, permintaan autentikasi interaktif, atau klien yang hanya mengevaluasi ulang konfigurasinya saat mulai ulang masing-masing dapat mendominasi gangguan sementara setiap timer protokol duduk nyaman rendah.

Ukur tahap yang benar-benar lambat

Tangkap kegagalan sekali, dengan stempel waktu di kedua sisi, lalu bandingkan keempat peristiwa alih-alih penghitung protokol itu sendiri. Satu jendela pengamatan yang dilakukan dengan benar lebih baik daripada sebulan penyetelan.

ip -4 route get 203.0.113.10
tcpdump -ni any -c 20 "esp or icmp"

Jika titik akhir alternatif tidak pernah menjawab, tidak ada perubahan timer yang membantu, karena ketakterjangkauan bukan masalah deteksi. Jika status keamanan baru terbentuk dengan cepat tetapi rute masih menunjuk ke jalur mati, masalahnya ada pada pemasangan rute dan penyesuaian keaktifan lain hanya menambah gejolak.

Alternatif harus sudah dapat digunakan

Cadangan yang didefinisikan dalam konfigurasi bukan cadangan yang berfungsi. Cadangan itu harus dapat dijangkau dari jaringan klien saat ini, mampu mengautentikasi identitas yang sama, dan diizinkan membawa lalu lintas yang sama di bawah kebijakan yang sama. Temukan salah satu dari tiga celah itu selama gangguan dan pembahasan timer menjadi tidak relevan. Uji alternatif saat primer sehat, karena hanya saat itulah Anda dapat membaca kedua log berdampingan.

Sediakan alternatif terlebih dahulu, ujilah dengan sengaja saat primer sehat, dan catat tahap mana dari keempatnya yang memakan waktu. Catatan itulah yang menjadikan perubahan berikutnya sebuah pengukuran, bukan dugaan.

Gejolak pengembalian dan jalur manajemen

Memulihkan primer adalah keputusan tersendiri. Pengembalian yang agresif dapat mengganggu pekerjaan yang sudah pulih di cadangan, dan jalur yang berkedip dapat tampak seperti tunnel yang tidak stabil ketika kesalahan sebenarnya adalah rute yang terus berayun antara dua opsi setara.

Dua jalur berbiaya sama tanpa preferensi adalah sumber umum kedipan yang terlihat, karena setiap pemantau bereaksi terhadap pilihan yang lain. Putuskan jalur mana yang disukai dalam kondisi normal, dan buat preferensi itu eksplisit dalam konfigurasi alih-alih menyerahkannya pada urutan rute. Tetapkan perilaku pengembalian yang diinginkan dan siapa pemiliknya, sebelumnya. Pertahankan pengaturan sebelumnya dan jalur manajemen independen, karena perubahan yang menghilangkan akses Anda sendiri selama gangguan mengubah insiden jaringan menjadi kunjungan ke lokasi.

Lalu ulangi beban kerja yang sama dan bandingkan keempat stempel waktu yang sama. Pemulihan yang lebih singkat tetapi masih membiarkan aplikasi menunggu rute atau login yang hilang itu bukan kemajuan, itu angka berbeda pada grafik yang sama.