Þrjár gerðir OpenVPN-failover á pfSense, þrjár aðferðir

„OpenVPN-failover“ á pfSense nær yfir að minnsta kosti þrjár óskyldar hannanir, og hver þeirra krefst annars ferlis. Að halda göngum gangandi yfir varainternettengingu, að tengjast öðrum þjóni á ný og að stýra LAN-umferð inn í önnur uppsett göng eru ekki afbrigði af einni og sömu aðgerð. Veldu bilunina sem þú ver þig gegn áður en þú byggir gáttarhóp. Hópur sem lagar eina þeirra gerir ekkert fyrir hinar tvær.

Nefndu bilunina áður en þú byggir hóp

Skrifaðu setninguna sem þú vilt að sé sönn meðan á bilun stendur. „Göngin tengjast á ný um vara-WAN“ og „útibúið nær enn í forritið um hin göngin“ eru mismunandi setningar. Aðeins sú fyrsta snýst um flutninginn.

Paraðu hana síðan við ferli. Tap á staðbundnu WAN er vandamál við val á tengi, dauður fjartengdur endapunktur er vandamál í tengingarlistanum, og ónothæf slóð inni í uppsettum göngum er vandamál í leiðarvali og stefnu.

Staðbundið WAN: færa flutninginn

Fyrir pfSense-OpenVPN-biðlara velur studda multi-WAN-uppsetningin viðeigandi gáttarhóp sem tengið sem biðlarinn bindur sig við. Það er það sem lætur ytri tenginguna fara út um varaleiðina þegar aðaltengingin bregst. Það breytir ekki af sjálfu sér hvernig innri umferðinni er beint.

Hlið þjónsins í sömu hönnun er aðskilin. OpenVPN-þjónn sem á að vera aðgengilegur á fleiri en einu opinberu vistfangi þarf hlustanda og inngöngustefnu fyrir hverja þessara færslna, ekki bara biðlara sem getur hringt út um tvær tengingar. Ein virk opinber færsla er ekki sönnun þess að hin sé stillt.

Leiðarvalsregla byggð á stefnu fyrir áframsenda LAN-pakka er ekki stillingin sem færir staðbundið myndaða VPN-flutningstengingu. Þetta eru tvær mismunandi uppflettingar, og að breyta annarri breytir ekki hinni.

Fjartengdur endapunktur: annar þjónn

Önnur fjartenging er eiginleiki í tengingarlistanum. Biðlarinn prófar næstu færslu þegar sú núverandi svarar ekki, sem er gagnlegt þegar tiltekinn hýsill er niðri en ekki þegar eigin upptenging er það. Báðar bilunin líta svipað út frá skrifborði notanda og krefjast mismunandi lagfæringa.

Hver frambjóðandi verður að vera raunverulegur staðgengill: samhæf auðkenning, samhæf biðlarastefna og aðgangur að sömu einkatilföngum. Annað hýsilnafn sem leysist á sama bilaða innviði er ekki varaleið. Þjónn án nauðsynlegu leiðarinnar er það ekki heldur, hversu heilbrigt sem handabandið virðist.

Þetta ferli lætur heldur ekki tvö göng áframsenda samtímis. Það skiptir einni tengingu út fyrir aðra, í röð, og bilið á milli þeirra sést á öllu sem var í gangi.

Slóð ganganna: veldu aðra útgöngu

Þegar tvö göng eru þegar uppi og þú vilt að umferðin noti það heilbrigðara, er ferlið úthlutað VPN-tengi með eigin gátt, auk skýrrar stefnureglu sem sendir réttu umferðina þangað. Gáttarhópur yfir þessi úthlutuðu tengi getur sett fram forgang og eftirlit.

Sú hönnun snýst um val, ekki um endurheimt. Að færa nýjar tengingar yfir á hin göngin segir ekkert um lotur sem þegar eru uppsettar á þeim fyrstu, og ekkert um hvort hin hliðin samþykki nýja frumvistfangið. Að meðhöndla það sem endurheimtarferli er hvernig væntingarnar eru settar of hátt.

Ef krafan er að núverandi lotur lifi af, segðu það skýrt. Flestar útfærslur flytja ekki lifandi flæði milli ganga, og að hanna eins og þær geri framleiðir failover sem virðist rétt á skýringarmynd og sleppir hverri opinni tengingu í reynd.

Eftirlit, NAT og fail-closed-reglan

Eftirlit á að prófa eitthvað sem göngunum er ætlað að skila. Skotmark sem svarar frá göngujafningnum en ekki frá forritanetinu handan við hann tilkynnir heilbrigt meðan notendur sjá ekkert. Ónálægt greiningarskotmark tilkynnir dautt meðan slóðin er í lagi. Veldu vistfangið af ásetningi og staðfestu að það sé aðeins nálægt um fyrirhuguðu göngin.

Athugaðu útleiðandi NAT fyrir báðar útgöngur. Virk þýðing á aðaltengingunni lýsir ekki frumvistfangi varaleiðarinnar, og fjartengda einkanetið þarf afturleið sem passar við það frumvistfang sem þú kemur fram með. Þýðing sem er rétt á annarri slóðinni getur verið hljóðlega röng á hinni.

Ákveddu síðan hvað verður um umferð sem má aldrei nota WAN. pfSense hefur skilgreinda hegðun fyrir reglur þar sem valda gáttin er niðri, og síðari breið gegnumstreymisregla eða sjálfgefin leið getur gert áætlun þína að engu. Skrifaðu lokaða útkomu niður sem kröfu og staðfestu hana með því að taka slóðina niður.

Prófaðu tap og endurheimt í sitthvoru lagi, með umferð sem þú hefur leyfi til að mynda, og fylgstu með þremur hlutum í einu: WAN sem ber ytri tenginguna, göngunum sem bera forritabeiðnina og slóðinni sem svarið tekur. Par af grænum gáttarvísum er ekki eitt af þessum þremur. Netgate-leiðarvísirinn um multi-WAN lýsir flutningsbindingunni og útfluttu biðlaravalkostunum sem þetta byggist á.