მეორე VPN ბოლო წერტილი: რას ფარავს და რას არა

ქაღალდზე ორი ბოლო წერტილი სიჭარბედ გამოიყურება. პრაქტიკაში მეორე მისამართი მხოლოდ მაშინ ეხმარება, როცა კლიენტებს შეუძლიათ მასთან მისვლა და როცა ის თავიდან აიცილებს იმ ხარვეზს, რომლისთვისაც ემზადებით. ერთი და იმავე წვდომის კავშირის, იმავე ანგარიშის ან იმავე სამიზნე ქსელის უკან მდგარი ორი სერვერი ერთად იშლება. სასარგებლო კითხვაა, რომელ ერთ ხარვეზს შლის მეორე ბოლო წერტილი.

შეადარეთ, რას იზიარებენ ორივე ბოლო წერტილი

ჩამოთვალეთ, რა აქვთ საერთო ორ ბოლო წერტილს, სანამ დათვლით, რას აორმაგებენ ისინი. ჰოსტინგის მდებარეობა, პროვაიდერის ანგარიში, ზედა ტრანზიტი, DNS ჰოსტინგი, იდენტობის წყარო და გვირაბის უკან არსებული კერძო რესურსი თითოეული ან საერთო ან დამოუკიდებელი დამოკიდებულებაა. ერთ რეგიონში ორი ვირტუალური მანქანა იზიარებს პროვაიდერის ხარვეზს. ერთი ანგარიშის ქვეშ ორი რეგიონი კვლავ იზიარებს ბილინგის ურთიერთობას და იმ მართვის სიბრტყეს, რომელიც მათ ქმნის.

სამიზნე ქსელი იგივე მოპყრობას იმსახურებს. ჯანსაღ სარეზერვო კარიბჭეს არ შეუძლია ოფლაინ NAS-ის აღდგენა და ვერ მიაღწევს იმ ოფისის ქსელს, რომლის ზედა რგოლი გათიშულია. თუ ორივე ბოლო წერტილი ერთ კერძო ქვექსელში მთავრდება, მეორე მხოლოდ გზას ამატებს იმ დანიშნულებისკენ, რომელიც უკვე ერთადერთი ხარვეზის წერტილია.

იდენტობა ის დამოკიდებულებაა, რომელსაც ადამიანები ივიწყებენ. სერტიფიკატისა და კონფიგურაციის კლონირება მეორე ჰოსტზე ქმნის ორ ადგილს, სადაც იგივე სერტიფიკატი შეიძლება დაკოპირდეს, და არაფერს ამბობს იმაზე, თუ როგორ აღწევს გაუქმებები ორივემდე.

გადაწყვიტეთ, როგორ გადადის კლიენტი

მეორე ბოლო წერტილი სასარგებლოა მხოლოდ მაშინ, თუ კლიენტმა იცის მის შესახებ და შეუძლია მისი არჩევა მხარდაჭერაზე დარეკვის გარეშე. OpenVPN-ის კავშირის პროფილები შეიძლება შეიცავდეს რამდენიმე remote ხაზს არჩევის პოლიტიკით, და კლიენტების უმეტესობა მენიუში ალტერნატიულ პროფილს გვთავაზობს. რაც არ უნდა იყოს მექანიზმი, ჩაწერეთ, რომელი აქვთ თქვენს მომხმარებლებს, რადგან პროფილი, რომელსაც ვერ პოულობენ, გადართვა არ არის.

წაიკითხეთ კლიენტის დოკუმენტაცია სესიის დროს მისამართის ცვლილებების შესახებ. ზოგიერთი იმპლემენტაცია მთელი გვირაბის სიცოცხლის განმავლობაში ინარჩუნებს საწყის წყვილს და ალტერნატივებს მხოლოდ ხელახალი დაკავშირებისას ეძებს. ეს განსხვავება განსაზღვრავს, მკვდარი ბოლო წერტილი ხანმოკლე შეფერხებას გამოიწვევს თუ სესიას, რომელიც არასოდეს აღდგება. გამოსცადეთ ხელახალი დაკავშირების გზა იმის ნაცვლად, რომ ჩათვალოთ, რომ ეს ხდება.

შეცვლილი გასასვლელი მისამართი ასევე ამტვრევს აპლიკაციის მდგომარეობას. გადართვა აღდგენაა, და მისი უწყვეტ კონტინუალობად აღწერა ქმნის მოლოდინს, რომელსაც ტრანსპორტი ვერ აკმაყოფილებს.

გამოსცადეთ ერთი რეალური ხარვეზი

აირჩიეთ ერთი კონტროლირებადი შეწყვეტა და გაატარეთ ის თავიდან ბოლომდე, ნაცვლად იმისა, რომ დიზაინის დოკუმენტს ენდოთ. გააჩერეთ ძირითადი ბოლო წერტილი, შემდეგ დაადასტურეთ, რომ უფლებამოსილი კლიენტი ალტერნატივის მეშვეობით აღწევს განკუთვნილ აპლიკაციას, ხოლო უფლებამოსილების არმქონე კლიენტები კვლავ ვერ ახერხებენ. ჩაწერეთ, რამდენ ხანს გასტანა გადართვამ და რა დაინახა აპლიკაციამ.

dig +short vpn2.example.net
ip route get 10.20.30.41
journalctl -u openvpn@backup --since '-10 min'

პირველი ბრძანება ადასტურებს, რომ სარეზერვო სახელი წყდება რაღაც მარშრუტიზებად სანამ დაგჭირდებათ, და ეს აქ ყველაზე იაფი ტესტია. მეორე აჩვენებს, რომელ ინტერფეისს გამოიყენებდა ბირთვი კერძო დანიშნულებისთვის, როცა ალტერნატივა აწეული იქნება. მესამე იძლევა კლიენტის ჟურნალს იმ წყვილის სახელით, რომელთანაც რეალურად დაუკავშირდა, და ეს არის ერთადერთი მტკიცებულება, რომ გადართვა მოხდა. დააკვირდით დაბლოკვის ქცევასაც შუალედის დროს, რადგან გადართვისას ტრაფიკის გაჟონვის პოლიტიკა უარესია, ვიდრე მოკლე შეფერხება.

შემდეგ დააბრუნეთ ორიგინალი და დაადასტურეთ, ბრუნდება თუ არა კლიენტი. შემთხვევით მომხდარი დაბრუნება ის ქცევაა, რომელიც არავის დაუგეგმავს.

ჩაწერეთ, რას იძლევა მეორე მისამართი

შეაჯამეთ დაფარვა ერთ აბზაცში: რომელ ხარვეზს შლის მეორე ბოლო წერტილი, რომელ ხარვეზებს იზიარებს პირველთან და რომელ ვარაუდებს ეყრდნობა გადართვა. დაასახელეთ კლიენტის მხარის მექანიზმი, ასევე კერძო მარშრუტები და DNS ქცევა, რომლებიც ორივე ადგილას უნდა არსებობდეს. საჯარო ინტერნეტ გასასვლელი კერძო კარიბჭეს არ ცვლის, და დოკუმენტს, რომელიც მათ ურთიერთშენაცვლებად თვლის, დაუჯერებენ. დაამატეთ ჩატარებული აღდგენის ტესტი თარიღითა და შედეგით.

ერთი სერვერისგან დამოუკიდებლობა არ არის დამოუკიდებლობა საერთო ანგარიშისა და სამიზნე ქსელისგან. სწორედ ის აბზაცი, რომელიც ამას ხმამაღლა ამბობს, უშლის ხელს მეორე მისამართის შიდა გაყიდვას მაღალ ხელმისაწვდომობად. ის ასევე ეუბნება შემდეგ ოპერატორს, რა შეამოწმოს პირველად, როცა წყვილი ერთად ვარდება.