Екі сервердегі бір VPN тіркелгісі: күйдің үш кітабы

Екі VPN түйінінің кез келгеніне кіре алатын бір тіркелгі бағдарламалық сұрақ болмай тұрып-ақ дизайн сұрағын қояды. Тіркелгі көрінісі, әр түйіннің өз желісі және қосылған клиент ұстап тұрған сессия — күйдің үш түрлі түрі, оларды орыннан орынға көшіргенде әрқайсысы әртүрлі бұзылады. Үшеуін де бір жүйеге көшіру — солардың бірін жоғалтудың кең тараған жолы.

Төмендегі үш кітапты ретімен қарап шығыңыз. Әрқайсысы ненің өкілетті, ненің жергілікті екенін және екінші түйін жоқ кезде не болатынын сұрайды, ал жауаптар бір-бірінен туындамайды.

Кім қосыла алады: бір өкілеттік, көп түйін

Рұқсат кітабынан бастаңыз: қай сәйкестік көзі өкілетті, қай сертификат берушілерге сенім артылады, қай тіркелгілер құзыретті, қай екінші фактор қолданылады және әр тіркелгі неге жете алады. Содан кейін әр түйіннің өзгерістерді қалай және қаншалықты жылдам білетінін жазып қойыңыз.

Ортақ дерекқор — бұл жауаптың мүмкін болатын құрамдастарының бірі. Ол әрбір тиісті саясаттың сонда тұратынына немесе әр түйіннің өзгеріс әрекетін бір мезетте қолданатынына дәлел емес. A түйінінде өшірілген, бірақ B түйінінде әлі қабылданатын тіркелгі шығару процесінің аяқталмағанын білдіреді.

Өкілеттікке қолжетімсіз болғанда түйіннің не істейтінін шешіңіз. Үзіліс кезінде кэштелген тіркелгі деректерін қабылдау — қауіпсіздік құны бар саяси таңдау, ал оларды қабылдамау — қолжетімділік құны бар саяси таңдау. Екеуі де қорғауға болады; құжаттамасыз қалдыру — жоқ.

Берушінің өкілеттігін тіркелгі деректерінен бөлек ұстаңыз. Бірнеше шлюз қол қою кілтін ұстамай-ақ бірдей CA-ға сене алады, ал әр түйінге әлі де өз сервер сертификаты мен өз клиент жағындағы сенім қатынасы қажет.

Түйінге не тиесілі: мекенжайлар мен маршруттар

Екінші кітап әр түйін үшін жергілікті: тыңдау мекенжайы, сервер сәйкестігі, мекенжай пулы, жеке ресурстарға маршруттар, шешуші саясаты және трафиктің интернетке қалай шығатыны. Бірдей тіркелгіні екі түйіннің кез келгені қызмет ете алады, бұл нысандар бөлек қалады.

Қайтару жолы — ұмытылатын бөлік. Егер екі түйін де бір пулдан мекенжайлар таратса, жеке желі берілген клиенттің қай түйінге тиесілі екенін анықтай алмайды және жауап дұрыс емес жерге жіберілуі мүмкін. Әртүрлі пулдарға да маршруттар мен рұқсаттар қажет, сондықтан бөлек сан диапазоны толық дизайн емес.

Клиенттерді әдейі бір түйінге бағыттаңыз. DNS таңдауы, клиенттің шеткі нүктелері тізімдері және фронтенд қызметі — денсаулық және ақаулық ауысуы әртүрлі механизмдер. Біреуін таңдау дұрыс; «жүктемені теңгеруді» дизайн деп санау қайтару жолы мен ақаулық мінезін анықталмаған күйде қалдырады.

Құжатталған өнім мысалы осында көмектеседі. Pritunl-дың репликация құжаттамасы VPN желісін әр көшірме үшін нысан ретінде қарастырады, ал әртүрлі көшірмелердегі клиенттерге бір-біріне жету үшін қосымша маршруттар мен байланыс қажет. Бұл өнімге тән тәртіп, Community OpenVPN үшін рецепт емес, бірақ көшірме қосу неге тек тіркелгі қоймасын емес, желіні де өзгертетінін көрсетеді.

Сессия деген не: тірі күй, жол емес

Үшінші кітап — тірі сессия. Қосылған клиенттің оны қабылдаған түйінде протокол күйі мен желілік тағайындалуы бар. Тіркелгінің басқа түйінде белгілі болуы сол түйінге сессияны, кілттерді немесе пакеттерді жалғастыру мүмкіндігін бермейді.

Түйін істен шыққанда не болатынын анық айтыңыз. Қолдау көрсетілетін нәтиже басқа түйінге жаңа аутентификация және жаңа мекенжаймен қайта қосылу болуы мүмкін, содан кейін қолданба өзінше қалпына келеді. Егер үздіксіз беру қажет болса, бұл талап нақты іске асыру қолдауын қажет етеді, дерекқор репликациясынан жасалған қорытындыны емес. Жауапты кезекші инженер таба алатын жерге жазыңыз.

Сыйымдылық ережелері де солай қарауды қажет етеді. Тіркелгіге екі бір мезгілдегі сессия шегі түйіндер арасында тек қандай да бір өкілеттіктің алынған орындар туралы үйлестірілген көрінісі болса ғана орындалады. Түйінге жергілікті тізімдер мен тарихи тіркелгі жазбасы сол көріністі құрамайды.

Үш кітапты сынау

Әрқайсысын бөлек сынап көріңіз. A түйіні арқылы кіріңіз, содан кейін B түйіні арқылы және екеуі де күтілетін мекенжай диапазондарымен сәтті болатынын растаңыз. Бір сәйкестікті қайтарып алып, екі түйінді де тексеріңіз, тек кездейсоқ сынағаныңызды емес. Содан кейін бір түйінді тоқтатып, клиент пен жеке қолданбаның шын мәнінде не істейтінін бақылаңыз.

Қабылдау тестіне қайтару жолын қосыңыз. B-ге қосылатын, бірақ A-ның артындағы ресурстан жауап ала алмайтын клиент рұқсат тексерісінен өтіп, желілік тексеруден құлады, бұл айырмашылық есепте көрінуі керек.

Көп түйінді тіркелгі дизайны барлық үш кітаптың айқын иесі, өзгеріс жолы және ақаулық мінезі болғанда ғана толық. Конфигурация файлын түйіндер арасында көшіру осы сұрақтардың бірде-біреуіне жауап бермейді.