VPN бірнеше жол арқылы: оператор ұсынуға тиіс төрт кепілдік

Екінші WAN байланысын қосыңыз, туннельдер көтеріледі, бірақ бір жол тербелгенде файл көшіру әлі де тұрып қалады. Байланыстар сау, VPN процестері жұмыс істеп тұр; жетіспейтіні — оператор мен туннель арасындағы шарт. Бірнеше сокет автоматты түрде бір қосылым сияқты әрекет етпейді, ал олардың үстіндегі қолданба жеткізу бұзылғанша айырмашылықты көре алмайды. Шарттың әр бөлігі тексеруге болатын ақауға сәйкес келеді, және бұл оны пайдалы етеді.

Өнімді таңдамас бұрын осы шартты жазыңыз. Оның төрт бөлігі бар: VPN алатын ағын, оператордың жоғалған деректерді қалай қалпына келтіретіні, қай шеткі нүкте идентификациясы жол өзгерісінен өтеді және жол істен шыққанда бәрі қалай әрекет етеді.

Симптом: байланыстар қосулы, сессия әлі де үзіледі

Екі байланыс та қосулы екенін көрсететін мониторинг графигі әр жолдың трафикті тасымалдай алатынын ғана дәлелдейді. Ол VPN бір реттелген ағынды көретінін, бір жолда жоғалған пакеттің басқа жолда қалпына келетінін немесе серіктестің қай сессиямен сөйлесіп жатқанын әлі білетінін дәлелдемейді. Шарттың қалған бөлігі график көрсете алмайтын нәрсені қамтиды.

Тасымалдау тұрып қалғанда, оператордың аман қалған жолда жеткізуді жалғастырғанын анықтаңыз. Екінші байланыс бос тұрғанда сессия өлсе, оператор оны ешқашан пайдаланбаған. Сессия аман қалса, бірақ деректер ретсіз немесе қайталанып келсе, оператор қосылым деңгейіндегі шартсыз пакеттерді жылжытады. Екі жақтағы уақыт белгілері мұны әдетте анықтайды.

Бұл айырмашылық түзетуді шешеді. Маршруттау немесе саясат мәселесі жол таңдауын өзгертуді талап етеді; жетіспейтін реттеу және қалпына келтіру қабаты басқа тасымалдауды талап етеді, үлкенірек буферді емес.

Бірінші кепілдік: қосылым деңгейіндегі байт ағыны

Егер VPN сенімді реттелген ағынды қажет етсе, оператор жеке жолдан жоғары байт ауқымдарын анықтауы керек. Әрбір негізгі TCP қосылымы тек өз сегменттерін нөмірлейді, сондықтан қабылдаушы тек осы нөмірлерді пайдаланып жолдар арасында қайта реттей алмайды.

Multipath TCP — стандартталған мысал. Ол бір сенімді байт ағынын ұсынып, бірнеше TCP ішкі ағынын үйлестіреді, деректер деңгейіндегі реттілік картасымен және растаумен. Қолданба ағынды оқиды, кесіндіні бірінші жеткізген ішкі ағынды емес.

Linux-та MPTCP әр сокет үшін IPPROTO_MPTCP арқылы opt-in болып табылады. Келіссөз көпжолды мінез-құлықты пайдалана алмаса, құжатталған қосалқы нұсқа — қарапайым TCP, яғни қолданба екінші жолды ешқашан пайдаланбай бір жолмен жалғастыра алады. Ядро параметрі қолданылды деп болжаудың орнына орналастырылған сокеттің нақты қандай мінез-құлықты келіскенін тексеріңіз.

Екінші кепілдік: реттеу, қайталау және қалпына келтіру

Әртүрлі кідірістер мен жоғалту деңгейлері бар жолдар операторды буферлеуге, қайта реттеуге және қайта жіберуге мәжбүр етеді. Шарт рұқсат етілген буферлеуді, қолданба көретін қарсы қысымды және қайта жіберуді қай жолдың тасымалдайтынын көрсетуі керек.

Қосылып тұрғанымен жеткізуді тоқтататын жол таза жабылудан қиынырақ. Оператор оны анықтап, күтіп тұрған деректерді жылжытып, ешқашан келмейтін сегментті мәңгі күтуден аулақ болуы керек. Екі байланыстың қосулы екенін қарапайым тексеру бұл күйді қамтымайды.

Қайталау өз ережесін қажет етеді. Бірдей жүктемені екі жолмен жіберу кідірісті жақсартуы мүмкін, бірақ қабылдаушы көшірмені VPN-ге жетпей тұрып басуы керек. IPsec anti-replay әр қауіпсіздік ассоциациясы үшін міндетті емес және реттік нөмірлерді тексереді; пакеттерді қайта реттейтін немесе қайталайтын қайталау қабаты оны іске қосуы немесе туннель құлағанша мәселені жасыруы мүмкін.

Үшінші кепілдік: шеткі нүкте идентификациясы және жол қосылуы

Серіктеске жаңа жол пайда болғанда сессияны танудың тұрақты жолы қажет. Егер әр жол жеке туннель ретінде аутентификацияланса, VPN екі сессияны көруі мүмкін. Егер оператор жолдарды бір сессия астында біріктірсе, жаңа жолдың қалай аутентификацияланатынын және ескісіне не болатынын анықтауы керек.

Қай мекенжайлар мен идентификаторлар тұрақты қалатынын жазып алыңыз: туннельдің шеткі нүктесі, оператордың сессия идентификаторы және олардың арасындағы кез келген прокси. Прокси қорғалған жүктемені ешқашан көрмесе де, тағы бір қолжетімділік және сенім шекарасын қосады.

Мұнда саясат та тұрады. Күтпеген желіден қосылған жол техникалық тұрғыдан жарамды болып, бәрібір көзделген сенім моделін бұзуы мүмкін. Жаңа жолдар автоматты түрде қабылдана ма, аутентификацияны талап ете ме, әлде қабылданбай ма — соны шешіңіз.

Төртінші кепілдік: ақау кезіндегі шектелген мінез-құлық

Толық жол ақауын тексеріңіз, тек баяу жолды емес. Аман қалған жол сессияны шексіз жады өсімінсіз тасымалдауы керек, ал қалпына келтіру қолданба шыдай алатыннан ұзағырақ таймерге тәуелді болмауы керек. Істен шыққан жол қайта оралғанда, оператор қайта теңестіру немесе ағынды орнында қалдыру туралы шешім қабылдауы керек.

Буферлеу, қайта жіберу және жол саны үшін шектеулер қойып, оларды жоғалту, қайта реттеу, қайталау және кідіріс теңгерімсіздігі кезінде тексеріңіз. Жиынтық өткізу қабілеті мұнда ең қызықсыз сан; жеткізу үздіксіздігі мен жады шектеулері — шарт.

Оператордың қалпына келтіру күйін VPN-нің криптографиялық күйінен бөлек ұстаңыз. Белгіленген аутентификацияны немесе шифрлауды алмастыратын жеке сенімділік қабаты қысқа жол емес, ал реттік нөмірлерді қабаттар арасында қайта пайдалану қайталаудан қорғаныс пен диагностиканы сенімсіз етеді.

Операторды сынақ жоспарымен қабылдаңыз

Төрт кепілдікті өтті немесе өтпеді тексерістері ретінде жазыңыз: бір реттелген ағын, анықталған қалпына келтіру, тұрақты сессия идентификациясы, шектелген ақау мінез-құлқы. Әр тексерісті бір жол нашарлатылған күйде, содан кейін бір жол алынып тасталған күйде орындаңыз.

Жол өзгерісі арқылы бір сәтті файл тасымалдау үздіксіз жұмысты дәлелдемейді. Таңдаулы жолды ауыстырып, тасымалдауды қайталаңыз және оператордың көрінісін де, VPN-нің өз есептегіштерін де тексеріңіз. Екеуі деректерді қай жол тасымалдағаны туралы келіспесе, шарт әлі бақыланбайды.

Бекітілген матрицаны орналастырумен бірге сақтаңыз. Ол келесі инженерге қандай мінез-құлық уәде етілгенін, қандай жол комбинациялары сыналғанын және қандай ақау режимі әлі қолдау көрсетілмейтінін байланыс күйі шамдарынан жаңа болжам жасамай-ақ айтады.