VPN-нің істен шығу саясатын маршрутизаторда ағып кетпей қалай құруға болады

Ауысу дәл конфигурацияланғандай жұмыс істеді, және мәселе де осында еді. Негізгі туннель құлағанда маршрутизатор әдепкі маршрутты кабельдік модемге ауыстырды, ноутбуктер шолуды жалғастырды, ал ешкім қоңырау шалмады. Екі күннен кейін біреу қаржылық ортақ қалтаның алты сағат бойы ашық интернет жолымен қолжетімді болғанын байқады. Маршрутизатордағы VPN ауысу саясаты маршруттау трюкі емес; ол қалаулы жол жоғалған кезде трафик не істеуі керегі туралы шешім, және бұл шешім жол жоғалмай тұрып болуы керек.

Детекторды таңдамай тұрып нәтижені шешіңіз

Әдетте үстелде үш нәтиже болады: әсер еткен клиенттерді резервтік туннель арқылы жіберу, оларға қарапайым WAN пайдалануға рұқсат ету немесе оларды толығымен бұғаттау. Қайсысы қай VLAN, SSID немесе құрылғы класына қатысты екенін жазыңыз. Бір тегіс “WAN-ға ауысу” ережесі жоғарыдағы қаржылық қалтаның ашық жолға түсуінің себебі.

Бұл үшеуі бірін-бірі алмастырмайды. WAN-ға қайту қолдау үстелін телефонға жауап беріп отыруға мәжбүр етеді, бірақ ішкі атауларды жергілікті шешушіге ашады. Резервтік туннель саясатты сақтайды, бірақ қарсы тарап қабылдамайтын шығу мекенжайына қонуы мүмкін. Бұғаттау жалақы VLAN-ы үшін дұрыс, ал туннельді ешқашан пайдаланбаған қонақ желісі үшін қате.

Детекторды шынымен қорқатын ақауға сәйкестендіріңіз

Қол алысу күйі, интерфейс күйі және пайдалануға болатын қайта жіберу — үш түрлі сигнал, пайдаланушыға тек соңғысы маңызды. WireGuard әріптесі жақында қол алысуды көрсетуі мүмкін, ал провайдердің жоғарғы ағыны пакеттерді қара тесікке тастап жатса. OpenVPN клиенті итеріп жіберген маршрут шешілуін тоқтатқаннан кейін де “қосылған” күйде қала алады.

pfSense-те практикалық құрылым — dpinger қоректендіретін шлюз тобы, ол бақылау мекенжайын тексереді және жоғалту немесе кідіріс оның шектерінен асқанда шлюзді өшірулі деп белгілейді. Бұл бақылауды туннельден тыс нәрсеге бағыттаңыз, мысалы алыс LAN-дағы хостқа немесе сол арқылы жететін ашық мекенжайға. Оны туннельдің өз әріптес мекенжайына бағыттау тірі екенін білетін бөлікті өлшейді.

Топты резервтік соңғы шара болып қалатындай құрыңыз

Тегіс мүшелер тізімінің орнына деңгейлерді пайдаланыңыз. Негізгі 1-деңгейде, резервтік туннель 2-деңгейде, WAN 3-деңгейде тек саясаты рұқсат ететін VLAN-дар үшін. pfSense-те бұл System > Routing > Gateway Groups астында: екі шлюзді де қосыңыз, оларға әртүрлі деңгейлер беріңіз, Trigger Level-ді member down plus packet loss етіп орнатыңыз, сақтаңыз, содан кейін топты интерфейстің әдепкі мәні ретінде немесе оған мұқтаж firewall ережелерінің Gateway өрісінде қолданыңыз.

pfSense 2.5 және одан жаңа нұсқалардағы OpenVPN клиент данасы үшін дананың Default Gateway параметрі туннель жүйенің әдепкі маршрутын жалпы алмастыратынын шешеді. Ереже бойынша саясатты маршруттау тек сіз болжаған маршрут шын мәнінде орнатылған кезде күткендей әрекет етеді. Өзгерістен кейін туннель күйінің белгішесіне сенудің орнына Status > Gateways тексеріңіз.

Тербелістің көбін екі параметр тудырады. Бірі — провайдердің өз қайта жинақталуынан қысқа тексеру аралығы. Екіншісі — негізгі мен резервтік деңгейді бөлісетін топ, сондықтан екеуі де үнемі сай болып қалады. Пайдаланушыларыңыз ауысуларды сіздің орныңызға сезінбес бұрын жоғалту мен кідіріс шектері арқылы гистерезис қосыңыз.

Туннель ешқашан иеленбеген жолдарды жабыңыз

Алдымен DNS ағулары. Шешуші WAN-да жауап беруді және сол жерден сыртқа жіберуді жалғастырады, сондықтан трафик туннельге қадалған күйде атаулар ISP арқылы шешіле береді. Шешушінің шығыс интерфейстерін шектеңіз, ішкі шешушіні клиенттерге итеріңіз және тек-VPN VLAN-дарында қалған барлығы үшін 53 портын бұғаттаңыз.

IPv6 өз шешімін қажет етеді. Қос стекті LAN туннельді жоғалтып, жұмыс істейтін жаһандық IPv6 әдепкі маршрутын сақтай алады, сондықтан браузерлер IPv6-ны қалайды және WAN арқылы шығады, ал IPv4 толық шектелген болып көрінеді. Не IPv6-ны туннельге маршруттаңыз, не туннель өшірулі тұрғанда жаһандық префиксті жарнамалауды тоқтатыңыз. Жарты саясат ешқайсысынан да жаман, өйткені ол жұмыс істеп тұрғандай көрінеді.

Содан кейін қайтару жолы. Егер резервтік шығу басқа бастау мекенжайын пайдаланса, қарсы тарап трафикті қалай кері жіберу керегін білуі керек, ал ескі мекенжайға байланған әрбір күй қазірдің өзінде өлі. Негізгі құлағанда ашық болған сессиялар көшпейді; олар мерзімі бітпейінше тоқтап тұрады, ал қолданба не істерін өзі шешеді.

Құлауды, тербелісті және қайта кіру жолын сынаңыз

Зиянсыз трафик жүріп тұрғанда негізгіні суырып алыңыз, содан кейін төрт нәрсені оқыңыз: Status > Gateways топ мүшелерінің күйлері үшін, pfctl -ss ескі шлюзге әлі қадалған күйлер үшін, шығу жолы үшін клиенттен traceroute, және қай сервер жауап бергенін көру үшін шешушіге сұрау.

Енді оны тербелтіңіз. Негізгіні отыз секунд көтеріңіз, отыз секунд түсіріңіз, екі рет. Егер трафик әрбір ауысуды қуып жүрсе, шектер тым тар немесе деңгейлер қате. Мұны өз кестеңізбен түзетіңіз, әйтпесе провайдер мұны өз кестесімен жасайды.

Соңында маршрутизаторды әлі басқара алатыныңызды растаңыз. Консоль кабелі, басқару VLAN-ы немесе ұялы модем сияқты жолақтан тыс жолды ұстаңыз. Сізді сыртта құлыптайтын ауысу сынағы — аяқтай алмайтын сынақ, ал қолжетімсіз маршрутизатор өздігінен қайта алмайды.

Саясатты дайын деп жарияламас бұрын терминал ашпай төрт сұраққа жауап бере білуіңіз керек: туннель өшірулі тұрғанда қай VLAN WAN пайдалана алады, детектор нені бақылайды және қанша күтеді, қай атау серверлері мен IPv6 маршруттары жолмен бірге жылжиды, және резервтік те істен шықса қалай қайта кіресіз. Егер қандай да бір жауап “әдепкі қандай болса, сол” болса, саясат әлі маршрутизатордікі, сіздікі емес.