როგორ ავაშენოთ VPN-ის გადართვის პოლიტიკა როუტერზე გაჟონვების გარეშე

გადართვამ ზუსტად ისე იმუშავა, როგორც კონფიგურირებული იყო და სწორედ ეს იყო პრობლემა. როცა ძირითადი გვირაბი ჩავარდა, როუტერმა ნაგულისხმევი მარშრუტი კაბელურ მოდემზე გადაიტანა, ლეპტოპები ბრაუზინგს განაგრძობდნენ და არავინ დარეკა. ორი დღის შემდეგ ვიღაცამ შენიშნა, რომ ფინანსური საერთო საქაღალდე ექვსი საათის განმავლობაში ღია ინტერნეტის გზით ხელმისაწვდომი იყო. VPN-ის გადართვის პოლიტიკა როუტერზე მარშრუტიზაციის ხრიკი არ არის; ეს არის გადაწყვეტილება იმის შესახებ, რა უნდა გააკეთოს ტრაფიკმა, როცა სასურველი გზა წავიდა, და ეს გადაწყვეტილება უნდა არსებობდეს გზის გაქრობამდე.

გადაწყვიტეთ შედეგი დეტექტორის არჩევამდე

ჩვეულებრივ მაგიდაზე სამი შედეგია: დაზარალებული კლიენტების სარეზერვო გვირაბით გაგზავნა, ჩვეულებრივი WAN-ის გამოყენების ნებართვა ან მათი სრული ბლოკირება. ჩაწერეთ, რომელი ეხება რომელ VLAN-ს, SSID-ს ან მოწყობილობის კლასს. ერთი ბრტყელი “WAN-ზე გადასვლა” წესი არის მიზეზი, რის გამოც ზემოთ მოცემული ფინანსური საქაღალდე საჯარო გზაზე აღმოჩნდა.

ეს სამი ურთიერთშემცვლელი არ არის. WAN-ზე დაბრუნება მხარდაჭერის მაგიდას ტელეფონებზე პასუხისმგებლად ტოვებს, თანაც შიდა სახელებს ლოკალურ ამომხსნელს ამხელს. სარეზერვო გვირაბი ინარჩუნებს პოლიტიკას, მაგრამ შეიძლება გასასვლელ მისამართზე დაეშვას, რომელსაც მეორე მხარე არ იღებს. ბლოკირება სწორია სახელფასო VLAN-ისთვის და არასწორია სასტუმრო ქსელისთვის, რომელსაც გვირაბი არასდროს გამოუყენებია.

შეუთავსეთ დეტექტორი იმ გაუმართაობას, რისიც ნამდვილად გეშინიათ

ხელის ჩამორთმევის მდგომარეობა, ინტერფეისის მდგომარეობა და გამოსადეგი გადაგზავნა სამი განსხვავებული სიგნალია და მომხმარებლისთვის მხოლოდ უკანასკნელს აქვს მნიშვნელობა. WireGuard-ის პარტნიორმა შეიძლება ახლო ხნის ხელის ჩამორთმევა აჩვენოს, სანამ პროვაიდერის ზედა დინება პაკეტებს შავ ხვრელში ყრის. OpenVPN კლიენტი შეიძლება “დაკავშირებულ” მდგომარეობაში დარჩეს მას შემდეგ, რაც მის მიერ გაშვებული მარშრუტი აღარ იხსნება.

pfSense-ზე პრაქტიკული მოწყობაა dpinger-ით კვებული კარიბჭეების ჯგუფი, რომელიც ამოწმებს მონიტორინგის მისამართს და კარიბჭეს გამორთულად ნიშნავს, როცა დანაკარგი ან შეყოვნება მის ზღვრებს გადააჭარბებს. მიმართეთ ეს მონიტორინგი გვირაბის გარეთ რაღაცას, მაგალითად შორეულ LAN-ში ჰოსტს ან საჯარო მისამართს, რომელსაც მის გავლით აღწევთ. მისი მიმართვა გვირაბის საკუთარ პარტნიორ-მისამართზე ზომავს იმ ნაწილს, რომელიც უკვე იცით, რომ ცოცხალია.

ააშენეთ ჯგუფი ისე, რომ სარეზერვო უკანასკნელ საშუალებად დარჩეს

გამოიყენეთ საფეხურები ერთი ბრტყელი წევრთა სიის ნაცვლად. ძირითადი 1-ლ საფეხურზე, სარეზერვო გვირაბი მე-2 საფეხურზე, WAN მე-3 საფეხურზე მხოლოდ იმ VLAN-ებისთვის, რომელთა პოლიტიკა ამას ნებას რთავს. pfSense-ზე ეს System > Routing > Gateway Groups ქვეშაა: დაამატეთ ორივე კარიბჭე, მიეცით განსხვავებული საფეხურები, დააყენეთ Trigger Level member down plus packet loss-ზე, შეინახეთ და შემდეგ გამოიყენეთ ჯგუფი ინტერფეისის ნაგულისხმევად ან იმ firewall წესების Gateway ველში, რომლებსაც ეს სჭირდებათ.

pfSense 2.5 და უფრო ახალ ვერსიებზე OpenVPN კლიენტის ინსტანციისთვის ინსტანციის Default Gateway პარამეტრი წყვეტს, ცვლის თუ არა გვირაბი სისტემის ნაგულისხმევ მარშრუტს საერთოდ. წესით პოლიტიკის მარშრუტიზაცია მოსალოდნელად იქცევა მხოლოდ მაშინ, როცა მარშრუტი, რომელსაც ვარაუდობთ, ნამდვილად დაყენებულია. ცვლილების შემდეგ შეამოწმეთ Status > Gateways, გვირაბის სტატუსის ხატულას ნდობის ნაცვლად.

ორი პარამეტრი იწვევს მერყეობის უმეტეს ნაწილს. ერთია შემოწმების ინტერვალი, რომელიც პროვაიდერის საკუთარ ხელახალ კონვერგენციაზე მოკლეა. მეორეა ჯგუფი, სადაც ძირითადი და სარეზერვო საფეხურს იზიარებენ, ასე რომ ორივე ყოველთვის კვალიფიციური რჩება. დაამატეთ ჰისტერეზისი დანაკარგისა და შეყოვნების ზღვრებით, სანამ თქვენი მომხმარებლები გადასვლებს თქვენს ნაცვლად იგრძნობენ.

დახურეთ ის გზები, რომლებიც გვირაბს არასდროს ეკუთვნოდა

ჯერ DNS გაჟონვები. ამომხსნელი აგრძელებს WAN-ზე პასუხს და იქიდან გარეთ გადაგზავნას, ამიტომ სახელები კვლავ ISP-ის გავლით იხსნება, სანამ ტრაფიკი გვირაბზეა მიჭედებული. შეზღუდეთ ამომხსნელის გამავალი ინტერფეისები, უბიძგეთ შიდა ამომხსნელი კლიენტებს და დაბლოკეთ 53 პორტი ყველა დანარჩენისთვის მხოლოდ-VPN VLAN-ებზე.

IPv6-ს საკუთარი გადაწყვეტილება სჭირდება. ორმაგი დასტის LAN-მა შეიძლება დაკარგოს გვირაბი და შეინარჩუნოს მოქმედი გლობალური IPv6 ნაგულისხმევი მარშრუტი, ამიტომ ბრაუზერები IPv6-ს ანიჭებენ უპირატესობას და WAN-ით გადიან, სანამ IPv4 სრულად ჩაკეტილად გამოიყურება. ან IPv6 გვირაბში გაამისამართეთ, ან შეწყვიტეთ გლობალური პრეფიქსის რეკლამირება, სანამ გვირაბი გამორთულია. ნახევარი პოლიტიკა არაფერზე უარესია, რადგან ჩანს, თითქოს მუშაობს.

შემდეგ დაბრუნების გზა. თუ სარეზერვო გასასვლელი სხვა წყაროს მისამართს იყენებს, მეორე მხარემ უნდა იცოდეს, როგორ გაგზავნოს ტრაფიკი უკან, და ძველ მისამართზე მიბმული ყოველი მდგომარეობა უკვე მკვდარია. სესიები, რომლებიც ღია იყო ძირითადის ვარდნისას, არ მიგრირდება; ისინი ჩერდებიან სანამ ვადა არ გაუვა და აპლიკაცია წყვეტს, რა გააკეთოს.

გამოსცადეთ ვარდნა, მერყეობა და უკან დაბრუნების გზა

ამოიღეთ ძირითადი უვნებელი ტრაფიკის დროს, შემდეგ წაიკითხეთ ოთხი რამ: Status > Gateways ჯგუფის წევრთა მდგომარეობებისთვის, pfctl -ss ჯერ კიდევ ძველ კარიბჭეზე მიჭედებული მდგომარეობებისთვის, traceroute კლიენტიდან გასასვლელი გზისთვის და ამომხსნელის მოთხოვნა, რომ ნახოთ, რომელი სერვერი გამოეხმაურა.

ახლა შეარყიეთ. აწიეთ ძირითადი ოცდაათი წამით, ჩამოწიეთ ოცდაათით, ორჯერ. თუ ტრაფიკი ყოველ გადასვლას მიჰყვება, ზღვრები ძალიან მჭიდროა ან საფეხურები არასწორია. გაასწორეთ ეს თქვენი გრაფიკით, თორემ პროვაიდერი ამას თავისი გრაფიკით გააკეთებს.

ბოლოს დაადასტურეთ, რომ ჯერ კიდევ შეგიძლიათ როუტერის ადმინისტრირება. შეინახეთ ზოლის გარეთ გზა, მაგალითად კონსოლის კაბელი, მართვის VLAN ან ფიჭური მოდემი. failover ტესტი, რომელიც გკეტავთ გარეთ, ტესტია, რომელსაც ვერ დაასრულებთ, და მიუწვდომელი როუტერი თავისით ვერ დაბრუნდება.

სანამ პოლიტიკას დასრულებულს გამოაცხადებთ, ტერმინალის გახსნის გარეშე უნდა შეძლოთ ოთხ კითხვაზე პასუხი: რომელ VLAN-ებს შეუძლიათ WAN-ის გამოყენება, სანამ გვირაბი გამორთულია, რას აკვირდება დეტექტორი და რამდენ ხანს ელოდება, რომელი სახელების სერვერები და IPv6 მარშრუტები მოძრაობენ გზასთან ერთად, და როგორ ბრუნდებით შიგნით, თუ სარეზერვოც ჩავარდა. თუ რომელიმე პასუხი “რაც ნაგულისხმევი იყო” არის, პოლიტიკა ჯერ კიდევ როუტერს ეკუთვნის და არა თქვენ.