Hvernig á að byggja VPN-failover stefnu á routernum án leka

Failoverið virkaði nákvæmlega eins og stillt var, og það var einmitt vandamálið. Þegar aðaltunnellinn féll færði routerinn sjálfgefnu leiðina yfir á kapalmódemið, fartölvurnar héldu áfram að vafra og enginn hringdi. Tveimur dögum síðar tók einhver eftir því að fjármálamappan hafði verið aðgengileg um opnu internetleiðina í sex klukkustundir. VPN-failover stefna á router er ekki leiðarvélabrellur; það er ákvörðun um hvað umferðin á að gera þegar uppáhaldsleiðin er farin, og sú ákvörðun verður að vera til staðar áður en leiðin hverfur.

Ákveðið niðurstöðuna áður en þið veljið skynjarann

Yfirleitt eru þrjár niðurstöður á borðinu: senda viðkomandi biðlara um varatunnell, leyfa þeim að nota venjulegt WAN eða loka þeim alveg. Skrifið niður hver á við hvaða VLAN, SSID eða tækjaflokk. Ein flöt regla “skipta yfir á WAN” er ástæðan fyrir því að fjármálamappan hér að ofan endaði á opinberri leið.

Þessar þrjár eru ekki skiptanlegar. WAN-fallback heldur þjónustuborðinu í að svara símanum á meðan það afhjúpar innri nöfn fyrir staðbundnum leysi. Varatunnell varðveitir stefnuna en getur lent á útgönguheimilisfangi sem hinn aðilinn samþykkir ekki. Blokkun er rétt fyrir launa-VLAN og röng fyrir gestanet sem notaði tunnellinn aldrei.

Lagið skynjarann að þeirri bilun sem þið óttist í raun

Staða handabands, staða tengibúnaðar og nothæf framsending eru þrjú mismunandi merki, og aðeins það síðasta skiptir notanda máli. WireGuard-jafningi getur sýnt nýlegt handaband á meðan uppstreymi þjónustuveitandans hendir pakkum í svarthol. OpenVPN biðlarinn getur setið á “tengdur” eftir að leiðin sem hann ýtti hætti að leysast.

Á pfSense er hagnýta fyrirkomulagið hópur gátta sem dpinger fóðrar, sem prófar eftirlitsheimilisfang og merkir gátt niðri þegar tap eða seinkun fer yfir þröskulda hennar. Beinið þeirri eftirliti að einhverju handan tunnellsins, svo sem hýsli á fjarlægu LANi eða opinberu heimilisfangi sem þið náið í gegnum hann. Að beina því að jafningjaheimilisfangi tunnellsins sjálfs mælir hlutann sem þið vitið nú þegar að lifir.

Byggið hópinn þannig að varan verði áfram síðasti kosturinn

Notið þrep í stað eins flatts meðlistalista. Aðal í þrepi 1, varatunnell í þrepi 2, WAN í þrepi 3 aðeins fyrir þau VLAN sem stefnan leyfir. Á pfSense er þetta undir System > Routing > Gateway Groups: bætið báðum gáttum við, gefið þeim mismunandi þrep, stillið Trigger Level á member down plus packet loss, vistið og beitið svo hópnum sem sjálfgefnu viðmótsins eða í Gateway-reit þeirra eldveggjarreglna sem þurfa hann.

Fyrir OpenVPN-biðlara á pfSense 2.5 og nýrri ræður stillingin Default Gateway á tilvikinu því hvort tunnellinn kemur í stað sjálfgefinnar leiðar kerfisins yfirleitt. Stefnuleiðsla eftir reglu hagar sér aðeins eins og þið búist við þegar leiðin sem þið gerið ráð fyrir að sé til er í raun uppsett. Athugið Status > Gateways eftir breytinguna í stað þess að treysta tákni tunnellsstöðu.

Tvær stillingar valda mestum flöktinum. Önnur er prófunarbil styttra en endursamleitni veitandans sjálfs. Hin er hópur þar sem aðal og vara deila þrepi, þannig að bæði haldast gjaldgeng allan tímann. Bætið við hysteresis gegnum þröskulda fyrir tap og seinkun áður en notendur ykkar finna fyrir umskiptunum fyrir ykkur.

Lokið leiðunum sem tunnellinn átti aldrei

Fyrst DNS-lekar. Leysirinn heldur áfram að svara á WAN og framsendir þaðan út, svo nöfn leysast áfram í gegnum ISP á meðan umferðin er fest við tunnellinn. Takmarkið útleiðir leysisins, ýtið innri leysinum út til biðlara og blokkið port 53 fyrir allt annað á aðeins-VPN VLANunum.

IPv6 þarf sína eigin ákvörðun. Tvíhlaðið LAN getur misst tunnellinn og haldið virkri alþjóðlegri sjálfgefinni IPv6-leið, svo vafrar kjósa IPv6 og fara út um WAN á meðan IPv4 virðist fullkomlega innilokað. Annaðhvort leiðið IPv6 inn í tunnellinn eða hættið að auglýsa alþjóðlegt forskeyti á meðan tunnellinn er niðri. Hálf stefna er verri en engin, því hún virðist virka.

Svo endurleiðin. Ef varatúgangan notar annað upprunheimilisfang verður hinn aðilinn að vita hvernig á að senda umferðina til baka, og sérhvert ástand sem er bundið gömlu heimilisfangi er þegar dautt. Lotur sem voru opnar þegar aðal féll flytjast ekki; þær standa þar til þær renna út og forritið ákveður hvað það gerir.

Prófið fallið, flöktið og leiðina inn aftur

Togið aðal út með skaðlausri umferð í gangi og lesið svo fjóra hluti: Status > Gateways fyrir stöður meðlima hópsins, pfctl -ss fyrir ástand sem er enn fest við gömlu gáttina, traceroute frá biðlara fyrir útgönguleiðina og leysifyrirspurn til að sjá hvaða þjónn svaraði.

Látið það nú flökta. Takið aðal upp í þrjátíu sekúndur, niður í þrjátíu, tvisvar. Ef umferðin eltir hvert umskipti eru þröskuldarnir of þröngir eða þrepin röng. Lagið það samkvæmt ykkar áætlun, því annars gerir þjónustuveitandi það samkvæmt sinni.

Að lokum staðfestið að þið getið enn stjórnað routernum. Haldið utanhliðarleið eins og konsólkapli, stjórnunar-VLAN eða farsímamódemi. Failover-próf sem lokar ykkur úti er próf sem þið getið ekki klárað, og óaðgengilegur router getur ekki fært sig til baka sjálfur.

Áður en þið lýsið stefnuna tilbúna ættuð þið að geta svarað fjórum spurningum án að opna skjáhermi: hvaða VLAN mega nota WAN á meðan tunnellinn er niðri, hvað skynjarinn fylgist með og hversu lengi hann bíður, hvaða nafnaþjónar og IPv6-leiðir færast með leiðinni, og hvernig þið komist inn aftur ef varan bregst líka. Ef eitthvert svar er “hvað sem sjálfgefna var”, tilheyrir stefnan enn routernum en ekki ykkur.