Екі IPsec шлюзі, ортақ IP жоқ: ақаулық ауысуы шын мәнінде не істейді

Кездесу кезінде A шлюзін өшіріп, бір минуттан кейін туннельдің B арқылы қайта оралғанын көріңіз; байланыс жұмыс істейді, бейнеқоңырау істемеуі мүмкін. Бұл тәуелсіз мекенжайлы екі IPsec шлюзі арасындағы суық ауысудың шынайы бейнесі. Клиент шеткі нүктені қайта таңдап, жаңа қатынас құрады, бұл ескі сессияның криптографиялық күйін тасымалдамай-ақ қолжетімділікті қалпына келтіреді. Тізбекті қадағалау дизайнның қандай уәделерді орындай алатынын анық етеді.

Сахнаны дайындаңыз: екі мекенжай, қалқымалы IP жоқ

A шлюзі бір қолжетімді мекенжайда жауап береді, B шлюзі басқасында. A кеткенде B-ны таңдаудың мақұлданған жолы клиентте бар және екі шлюз де талап ететін ортақ сыртқы мекенжай жоқ. Бұл дизайнда виртуалды IP сол ортақ кіру нүктесін білдіреді, қашықтан қатынау клиентіне берілген ішкі мекенжайды емес.

Бұл анықтама маңызды, өйткені екі идея билеттерде араласады және бірін түзету екіншісін түзету емес. Ортақ кіру шлюзге ілеспегені туралы есеп бір дизайнды сипаттайды. Ноутбук ішкі мекенжайын жоғалтқаны туралы есеп клиенттің жалдауын сипаттайды. Әртүрлі иелер, әртүрлі журналдар, әртүрлі жөндеулер.

Ақаулықтан өтіңіз: анықта, содан кейін қайта таңда

Алдымен бірдеңе A-ның жауап беруді тоқтатқанын байқайды. Бұл туннель қабатындағы өлі серіктесті анықтау, жолды кері қайтаратын маршруттау протоколы немесе сайып келгенде қайта қосылуға мәжбүрлейтін қосымша таймауты болуы мүмкін. Әрқайсысының уақыт шкаласы әртүрлі және ең баяуы әдетте пайдаланушылардың қанша күтетінін анықтайды.

Содан кейін клиент орналастыру қолдайтын механизм арқылы B-ны таңдайды: екінші конфигурацияланған қашықтағы нүкте, сау мекенжайға шешілетін DNS атауы немесе енді басқа жолды қалайтын маршруттау. Таңдау — саясат қадамы және ол ақаулыққа дейін болуы керек, әйтпесе кездейсоқ орын алады.

B нені мұралана алады, нені алмайды

B A-мен конфигурация үлгісін, сертификат беруші органды және аутентификация саясатын бөлісе алады. Ол тірі қауіпсіздік бірлестіктерін мұралана алмайды. Сессия кілттері, қауіпсіздік параметрлерінің индекстері және реттілік күйі A мен клиент құрған қатынасқа тиесілі, ал B-де олардың ешқайсысы жоқ.

Бұл күйді шлюздер арасында жылжыту нақты инженерлік мәселе, сондықтан strongSwan-ның жоғары қолжетімділік құжаттамасы оны конфигурация жалауы емес, кластер дизайны ретінде қарастырады. Нақты кластер рецепті бұлттық желі үшін жалпы жауап емес және оны қолдаушы инфрақұрылымсыз көшіру үздіксіздік орнына күрделілік сатып алады.

Жаңа қатынас орнату

B таңдалған соң клиент жаңа IKE алмасуын жасайды: жаңа nonce мәндері, жаңа Diffie-Hellman мәндері, пайда болатын бірлестіктер үшін жаңа идентификаторлар. Аутентификация қайтадан B-де орындалады. Егер дизайн машиналық тіркелгі деректеріне сүйенсе, қайта қосылу қадағалаусыз болуы мүмкін; егер адами фактор қажет болса, ауысуды аяқтау үшін біреу қатысуы керек.

Бұл пайдаланушы тәжірибесін үзілістен бұрын анықтаңыз, үзіліс кезінде емес. Клиенттің не істейтінін, қанша уақыт әрекет ететінін және бас тартқанда нені көрсететінін анық айтыңыз, өйткені бір минут қайта қосылу мен қолдау қоңырауының айырмашылығы әдетте құжаттама мен сыналған профиль.

Сол ішкі мекенжайды сақтау тұрақты жергілікті сәйкестікті күтетін қосымшаларға көмектеседі және олардың сессияларын сақтамайды. NAT байланыстары мерзімі бітеді, TCP қосылыстары қалпына келтіріледі және өз таймауты бар кез келген нәрсе қайта әрекет етуді дербес шешеді.

Екі туннель қатар — бұл басқа дизайн

Екі туннельді бір уақытта іске қосу екі шлюз бен маршруттау дизайны қолдағанда жарамды үлгі. Сонда маршрут таңдау белсенді жолды таңдайды және қайтару жолы сәйкесуі керек, әйтпесе трафик бір шлюзден шығып, екіншісінен қайтады, оны сәйкестендіретін күйсіз.

Қабаттасатын туннель саясаттары өздігінен реттелген ауысуды жасамайды. Олар екі үміткер жасайды және олардың арасында бірдеңе детерминді түрде шешуі керек: маршрут метрикасы, саясат басымдығы немесе клиенттегі айқын артықшылық.

Қандай пішін таңдасаңыз да, шартты жазыңыз: ақаулық қалай анықталады, балама қалай таңдалады, ол қандай аутентификацияны талап етеді және қайта қосылу қанша уақыт алады деп күтіледі. Ортақ IP табуды жеңілдетуі мүмкін, бірақ ол үздіксіз күйдің синонимі емес және қолжетімділік кез келген жағдайда дизайн.