pfSense жүйесіндегі OpenVPN-нің үш түрлі қайта қосу тәсілі, үш механизм

pfSense жүйесіндегі „OpenVPN failover“ кемінде үш бір-бірімен байланыспаған жобаны қамтиды және олардың әрқайсысы басқа механизмді талап етеді. Туннельді қосалқы интернет желісі арқылы тірі ұстау, басқа серверге қайта қосылу және LAN трафигін басқа орнатылған туннельге бағыттау — бұл бір функцияның нұсқалары емес. Шлюз тобын құрмас бұрын қандай ақаудан қорғанатыныңызды таңдаңыз. Біреуін түзететін топ қалған екеуі үшін ештеңе істемейді.

Топ құрмас бұрын ақауды атаңыз

Үзіліс кезінде ақиқат болуын қалайтын сөйлемді жазыңыз. „Туннель қосалқы WAN арқылы қайта қосылады“ және „филиал қолданбаға басқа туннель арқылы жетуді жалғастырады“ — әртүрлі сөйлемдер. Тек біріншісі тасымалға қатысты.

Содан кейін оны механизммен сәйкестендіріңіз. Жергілікті WAN жоғалуы — интерфейс таңдауының мәселесі, өлі қашықтағы соңғы нүкте — қосылымдар тізімінің мәселесі, ал орнатылған туннель ішіндегі жарамсыз жол — маршруттау мен саясат мәселесі.

Жергілікті WAN: тасымалды жылжыту

pfSense OpenVPN клиенті үшін қолдау көрсетілетін көп WAN құрылымы клиент байланысатын интерфейс ретінде сәйкес шлюз тобын таңдайды. Негізгі желі істен шыққанда сыртқы қосылымның қосалқы желі арқылы шығуына мүмкіндік беретін дәл осы. Өз бетінше ішкі трафиктің қалай маршрутталатынын өзгертпейді.

Сол жобаның сервер жағы бөлек. Бірнеше жария мекенжай арқылы қолжетімді болуы тиіс OpenVPN серверіне сол жазбалардың әрқайсысы үшін тыңдаушы мен кіріс саясаты қажет, тек екі желі арқылы шалғыза алатын клиент емес. Жұмыс істейтін бір жария жазба екіншісінің конфигурацияланғанына дәлел емес.

Жөнелтілетін LAN пакеттері үшін саясатқа негізделген маршруттау ережесі жергілікті түрде жасалған VPN тасымалдау қосылымын жылжытатын параметр емес. Бұл екі түрлі іздеу, және біреуін өзгерту екіншісін өзгертпейді.

Қашықтағы соңғы нүкте: басқа сервер

Балама remote — қосылымдар тізімінің функциясы. Клиент ағымдағы жазба жауап бермегенде келесісін сынап көреді, бұл белгілі бір хост істен шыққанда пайдалы, өз жоғары желіңіз істен шыққанда емес. Екі ақау пайдаланушы үстелінен ұқсас көрінеді және әртүрлі түзетулерді талап етеді.

Әр кандидат нағыз алмастырушы болуы керек: үйлесімді аутентификация, үйлесімді клиент саясаты және сол жеке ресурстарға қолжетімділік. Сол істен шыққан инфрақұрылымға шешілетін екінші хост атауы қосалқы емес. Қажетті маршруты жоқ сервер де емес, қол алысуы қаншалықты сау көрінсе де.

Бұл механизм екі туннельді қатар жөнелтуге де мәжбүрлемейді. Бір қосылымды екіншісімен кезекпен алмастырады, және олардың арасындағы үзіліс жұмыс істеп тұрғанның бәріне көрінеді.

Туннель жолы: басқа шығысты таңдау

Екі туннель тұрғанда және трафик сауырақты пайдалануы тиіс болса, механизм — өз шлюзі бар тағайындалған VPN интерфейсі және дұрыс трафикті сол жерге жіберетін айқын саясат ережесі. Осы тағайындалған интерфейстер үстіндегі шлюз тобы басымдық пен мониторингті білдіре алады.

Бұл жоба таңдау туралы, қалпына келтіру туралы емес. Жаңа қосылымдарды екінші туннельге жылжыту біріншіде әлдеқашан орнатылған сессиялар туралы ештеңе айтпайды және қарсы жақ жаңа бастапқы мекенжайды қабылдай ма, ол туралы да ештеңе айтпайды. Оған қалпына келтіру механизмі ретінде қарау — күтулерді тым биік қоюдың жолы.

Талап бар сессиялардың тірі қалуы болса, оны анық айтыңыз. Көптеген іске асырулар тірі ағынды туннельдер арасында көшірмейді, ал көшіреді деп жобалау схемада дұрыс көрінетін, іс жүзінде әр ашық қосылымды тастайтын қайта қосуды береді.

Мониторлар, NAT және fail-closed ережесі

Монитор туннель жеткізуі тиіс нәрсені тексеруі керек. Туннель серіктесінен жауап беретін, бірақ оның артындағы қолданба желісінен бермейтін мақсат пайдаланушылар ештеңе көрмегенде сау деп хабарлайды. Қолжетімсіз диагностикалық мақсат жол ретінде болғанда өлі деп хабарлайды. Мекенжайды әдейі таңдаңыз және оған тек көзделген туннель арқылы жетуге болатынын растаңыз.

Екі шығыс үшін шығыс NAT-ты тексеріңіз. Негізгіде жұмыс істейтін түрлендіру қосалқының бастапқы мекенжайын сипаттамайды, ал қашықтағы жеке желі сіз ұсынатын көзге сәйкес келетін кері маршрутты қажет етеді. Бір жолда дұрыс түрлендіру екіншісінде байқаусыз қате болуы мүмкін.

Содан кейін WAN-ды ешқашан пайдаланбауы тиіс трафикке не болатынын шешіңіз. pfSense-те таңдалған шлюзі істен шыққан ережелер үшін анықталған мінез-құлық бар, ал кейінгі кең рұқсат ережесі немесе әдепкі маршрут ниетіңізді жоя алады. Блокталған нәтижені талап ретінде жазып алыңыз, содан кейін жолды өшіру арқылы оны тексеріңіз.

Жоғалту мен қалпына келтіруді бөлек, өзіңізге жасауға рұқсат етілген трафикпен сынаңыз және бір уақытта үш нәрсені бақылаңыз: сыртқы қосылымды тасымалдайтын WAN, қолданба сұранысын тасымалдайтын туннель және жауаптың ұстанатын жолы. Бір жұп жасыл шлюз индикаторы сол үшеуінің бірі емес. Netgate-тің көп WAN жөніндегі нұсқаулығы осының негізінде жатқан тасымал байланысын және экспортталған клиент баламаларын сипаттайды.