Tvö IPsec-hlið án sameiginlegs IP: hvað gerir failover í raun

Drepðu hlið A í fundi og fylgstu með göngin koma aftur um B einni mínútu síðar; tengingin virkar, myndsímtalið kannski ekki. Þetta er heiðarleg mynd kaldrar yfirfærslu milli tveggja IPsec-hliða með óháðum vistföngum. Biðlarinn velur endapunkt aftur og byggir nýtt samband, sem endurheimtir aðgengi án þess að flytja dulritunarstöðu gamla setunnar. Að fara í gegnum röðina gerir ljóst hvaða loforð hönnunin getur staðið við.

Setjið upp sviðið: tvö vistföng, ekkert fljótandi IP

Hlið A svarar á einu aðgengilegu vistfangi og hlið B á öðru. Biðlarinn hefur samþykkta leið til að velja B þegar A er horfið, og það er ekkert sameiginlegt ytra vistfang sem bæði hliðin gera tilkall til. Í þessari hönnun þýðir sýndar-IP einmitt þann sameiginlega inngang, ekki innra vistfangið sem úthlutað er biðlara fyrir fjartengingu.

Þessi skilgreining skiptir máli því hugmyndirnar tvær blandast í málum, og lagfæring annarrar er ekki lagfæring hinnar. Skýrsla um að sameiginlega innganginn hafi ekki fylgt hliðinu lýsir einni hönnun. Skýrsla um að fartölvan hafi misst innra vistfang sitt lýsir leigu biðlarans. Ólíkir eigendur, ólík skrá, ólíkar viðgerðir.

Farðu í gegnum bilunina: greindu, veldu svo aftur

Fyrst tekur eitthvað eftir því að A hætti að svara. Það getur verið greining dauðs jafningja á göngulaginu, leiðarvaldsprotokoll sem dregur leið til baka, eða tímamörk forrits sem loks þvingar endurtengingu. Hvert hefur mismunandi tímaskala, og hið hægasta ræður venjulega hversu lengi notendur bíða.

Síðan velur biðlarinn B með þeirri aðferð sem uppsetningin styður: önnur stillt fjartenging, DNS-nafn leyst í heilbrigt vistfang, eða leiðarval sem kýs nú aðra leið. Valið er stefnuskref og verður að vera til fyrir bilunina, annars gerist það fyrir tilviljun.

Hvað B getur og getur ekki erft

B getur deilt stillingarsniðmáti, vottunarstofu og auðkenningarstefnu með A. Það getur ekki erft lifandi öryggissamtengin. Setulyklar, vísum öryggisfæribreyta og röðstaða tilheyra sambandinu sem A og biðlarinn byggðu, og B hefur ekkert þeirra.

Að flytja þessa stöðu milli hliða er raunverulegt verkfræðivandamál, þess vegna meðhöndlar skjöl strongSwan um mikla framboð sem klasahönnun en ekki stillirofa. Tiltekin klakauglýsing er ekki almenn lausn fyrir skýjanet, og að afrita hana án stoðinnviðanna kaupir flækju í stað samfellu.

Koma á nýju sambandi

Með B valið framkvæmir biðlarinn nýja IKE-skipti: ný nonce-gildi, ný Diffie-Hellman-gildi, ný auðkenni fyrir samtengin sem verða til. Auðkenning fer fram aftur hjá B. Ef hönnunin hvílir á vélarauðkennum getur endurtengingin verið án eftirlits; ef hún krefst mannlegs þáttar verður einhver að vera við til að yfirfærslan klárist.

Skilgreindu þá notendaupplifun fyrir truflunina, ekki á meðan. Segðu skýrt hvað biðlarinn gerir, hversu lengi hann reynir og hvað hann sýnir þegar hann gefst upp, því munurinn á einni mínútu endurtengingar og símtali við stuðning er venjulega skjöl og prófað prófíl.

Að varðveita sama innra vistfang hjálpar forritum sem búast við stöðugri staðbundinni auðkenningu, og varðveitir ekki setur þeirra. NAT-binding rennur út, TCP-tengingar endurstillast, og hvað sem hefur eigin tímamörk ákveður sjálfstætt hvort það reyni aftur.

Tvö göng samhliða eru önnur hönnun

Að keyra bæði göngin samtímis er gilt mynstur þegar bæði hliðin og leiðarvalahönnunin styðja það. Þá velur leiðarval virku leiðina, og afturleiðin verður að vera sammála, annars fer umferð út um eitt hlið og kemur aftur um hitt án stöðu til að passa við.

Skörun gangstefnu skapar ekki skipulega yfirfærslu af sjálfu sér. Hún skapar tvo kandídata, og eitthvað verður að ákveða milli þeirra á ákveðinn hátt, hvort sem það er leiðarvalmælikvarði, stefnuforgangur eða skýr val í biðlaranum.

Hvaða form sem þú velur, skrifaðu samninginn niður: hvernig bilunin greinist, hvernig valkosturinn er valinn, hvaða auðkenningu hann krefst og hversu lengi endurtengingin á að taka. Sameiginlegt IP getur einfaldað uppgötvun, en það er ekki samheiti yfir stöðuga stöðu, og framboð er hönnun í öllum tilvikum.