OpenVPN-ის გადართვის სამი ტიპი pfSense-ზე, სამი მექანიზმი

pfSense-ზე „OpenVPN failover“ მოიცავს სულ მცირე სამ ერთმანეთისგან დამოუკიდებელ გადაწყვეტას და თითოეული მათგანი სხვა მექანიზმს მოითხოვს. გვირაბის ცოცხლად შენარჩუნება სარეზერვო ინტერნეტ კავშირის გავლით, სხვა სერვერზე ხელახლა დაკავშირება და LAN ტრაფიკის სხვა უკვე დამყარებულ გვირაბში მიმართვა ერთი ფუნქციის ვარიანტები არ არის. აირჩიეთ ხარვეზი, რომლისგანაც იცავთ თავს, სანამ გეითვეი ჯგუფს ააგებთ. ჯგუფი, რომელიც ერთ მათგანს ასწორებს, დანარჩენი ორისთვის არაფერს აკეთებს.

დაასახელეთ ხარვეზი, სანამ ჯგუფს ააგებთ

დაწერეთ წინადადება, რომლის ჭეშმარიტებაც გსურთ შეფერხების დროს. „გვირაბი ხელახლა უკავშირდება სარეზერვო WAN-ის გავლით“ და „ფილიალი კვლავ აღწევს აპლიკაციას მეორე გვირაბის გავლით“ სხვადასხვა წინადადებაა. მხოლოდ პირველი ეხება ტრანსპორტს.

შემდეგ შეადარეთ ის მექანიზმს. ლოკალური WAN-ის დაკარგვა ინტერფეისის არჩევის პრობლემაა, მკვდარი დისტანციური ბოლო წერტილი კავშირების სიის პრობლემაა, ხოლო დამყარებული გვირაბის შიგნით გამოუსადეგარი გზა მარშრუტიზაციისა და პოლიტიკის პრობლემაა.

ლოკალური WAN: ტრანსპორტის გადატანა

pfSense OpenVPN კლიენტისთვის მხარდაჭერილი მრავალ-WAN განლაგება ირჩევს შესაბამის გეითვეი ჯგუფს როგორც ინტერფეისს, რომელზეც კლიენტი მიბმულია. სწორედ ეს აძლევს გარე კავშირს საშუალებას გავიდეს სარეზერვო ხაზით, როცა პირველადი ვარდება. თავისთავად არ ცვლის, როგორ მარშრუტიზდება შიდა ტრაფიკი.

იმავე გადაწყვეტის სერვერის მხარე ცალკეა. OpenVPN სერვერს, რომელიც რამდენიმე საჯარო მისამართზე უნდა იყოს ხელმისაწვდომი, სჭირდება მსმენელი და შემავალი პოლიტიკა თითოეული ამ ჩანაწერისთვის და არა მხოლოდ კლიენტი, რომელსაც ორი ხაზით დარეკვა შეუძლია. ერთი მუშა საჯარო ჩანაწერი არ არის მტკიცებულება, რომ მეორე კონფიგურირებულია.

გადაგზავნილი LAN პაკეტებისთვის პოლიტიკაზე დაფუძნებული მარშრუტიზაციის წესი არ არის ის პარამეტრი, რომელიც ლოკალურად შექმნილ VPN სატრანსპორტო კავშირს გადაადგილებს. ეს ორი განსხვავებული ძიებაა და ერთის შეცვლა მეორეს არ ცვლის.

დისტანციური ბოლო წერტილი: სხვა სერვერი

ალტერნატიული remote კავშირების სიის ფუნქციაა. კლიენტი ცდის შემდეგ ჩანაწერს, როცა მიმდინარე არ პასუხობს, რაც სასარგებლოა, როცა კონკრეტული ჰოსტი ჩავარდა და არა მაშინ, როცა თქვენი აღმავალი ხაზი ჩავარდა. ორი ხარვეზი მომხმარებლის მაგიდიდან მსგავსად გამოიყურება და სხვადასხვა შესწორებას მოითხოვს.

თითოეული კანდიდატი უნდა იყოს ნამდვილი შემცვლელი: თავსებადი აუთენტიფიკაცია, თავსებადი კლიენტის პოლიტიკა და წვდომა იმავე კერძო რესურსებზე. მეორე ჰოსტის სახელი, რომელიც იმავე გაფუჭებულ ინფრასტრუქტურაზე წყდება, სარეზერვო არ არის. სერვერი საჭირო მარშრუტის გარეშე არც არის, რაც უნდა ჯანსაღად გამოიყურებოდეს მისი ხელის ჩამორთმევა.

ეს მექანიზმი არც ორ გვირაბს აიძულებს ერთდროულად გადაცემას. ის ერთ კავშირს მეორეთი თანმიმდევრულად ცვლის და მათ შორის არსებული უფსკრული ყველასთვის ჩანს, რაც მუშაობდა.

გვირაბის გზა: სხვა გასასვლელის არჩევა

როცა ორი გვირაბი უკვე აწეულია და ტრაფიკმა უფრო ჯანსაღი უნდა გამოიყენოს, მექანიზმია საკუთარი გეითვეის მქონე მინიჭებული VPN ინტერფეისი და აშკარა პოლიტიკის წესი, რომელიც სწორ ტრაფიკს იქ აგზავნის. ამ მინიჭებულ ინტერფეისებზე გეითვეი ჯგუფს შეუძლია პრიორიტეტისა და მონიტორინგის გამოხატვა.

ეს გადაწყვეტა არჩევანზეა და არა აღდგენაზე. ახალი კავშირების მეორე გვირაბზე გადატანა არაფერს ამბობს პირველზე უკვე დამყარებულ სესიებზე და არაფერს იმაზე, მიიღებს თუ არა მოპირდაპირე მხარე ახალ წყაროს მისამართს. მასზე აღდგენის მექანიზმად ყურება მოლოდინების ძალიან მაღლა დაყენების გზაა.

თუ მოთხოვნაა, რომ არსებული სესიები გადარჩეს, თქვით ეს ცხადად. იმპლემენტაციების უმეტესობა ცოცხალ ნაკადს გვირაბებს შორის არ გადაიტანს, ხოლო ისე დაპროექტება, თითქოს გადაიტანს, იძლევა გადართვას, რომელიც დიაგრამაზე სწორად გამოიყურება და პრაქტიკაში ყველა ღია კავშირს ყრის.

მონიტორები, NAT და fail-closed წესი

მონიტორმა უნდა შეამოწმოს ის, რაც გვირაბმა უნდა მიაწოდოს. სამიზნე, რომელიც გვირაბის პარტნიორიდან პასუხობს, მაგრამ არა მის მიღმა არსებული აპლიკაციის ქსელიდან, ჯანსაღს შეატყობინებს, სანამ მომხმარებლები ვერაფერს ხედავენ. მიუწვდომელი დიაგნოსტიკური სამიზნე მკვდარს შეატყობინებს, სანამ გზა რიგზეა. აირჩიეთ მისამართი განზრახ და დაადასტურეთ, რომ ის მხოლოდ განკუთვნილი გვირაბის გავლით არის ხელმისაწვდომი.

შეამოწმეთ გამავალი NAT ორივე გასასვლელისთვის. პირველადზე მომუშავე თარგმანი არ აღწერს სარეზერვოს წყაროს მისამართს, ხოლო დისტანციურ კერძო ქსელს სჭირდება დაბრუნების მარშრუტი, რომელიც შეესაბამება იმ წყაროს, რომელსაც წარმოადგენთ. ერთ გზაზე სწორი თარგმანი მეორეზე ჩუმად მცდარი შეიძლება იყოს.

შემდეგ გადაწყვიტეთ, რა მოუვა ტრაფიკს, რომელმაც არასდროს არ უნდა გამოიყენოს WAN. pfSense-ს აქვს განსაზღვრული ქცევა წესებისთვის, რომელთა არჩეული გეითვეი ჩავარდა, ხოლო გვიანდელ ფართო გამტარების წესს ან ნაგულისხმევ მარშრუტს შეუძლია თქვენი განზრახვის გაუქმება. ჩაკეტილი შედეგი მოთხოვნად ჩაწერეთ და შეამოწმეთ გზის გამორთვით.

დაკარგვა და აღდგენა ცალკე შეამოწმეთ, იმ ტრაფიკით, რომლის გენერირების უფლებაც გაქვთ, და ერთდროულად დააკვირდით სამ რამეს: WAN, რომელიც გარე კავშირს ატარებს, გვირაბი, რომელიც აპლიკაციის მოთხოვნას ატარებს, და გზა, რომელსაც პასუხი იღებს. მწვანე გეითვეის ინდიკატორების წყვილი ამ სამიდან ერთი არ არის. Netgate-ის სახელმძღვანელო მრავალი WAN-ის შესახებ აღწერს სატრანსპორტო მიბმას და ექსპორტირებულ კლიენტის ალტერნატივებს, რომლებსაც ეს ეყრდნობა.