Junos ಎರಡು-WAN IPsec VPN: ಮೂಲ ಮಾರ್ಗವನ್ನು ಸರಿಯಾದ ಗೇಟ್ವೇಗೆ ಹೊಂದಿಸುವುದು
ಎರಡು-WAN IPsec ಗಾಗಿ Junos SRX ಮಾರ್ಗದರ್ಶಿ: ಪ್ರತಿ ಸ್ಥಳೀಯ ಮೂಲವನ್ನು ಅದರ ಅಭ್ಯರ್ಥಿ ಗೇಟ್ವೇಗಳೊಂದಿಗೆ ಜೋಡಿಸಿ, ನಂತರ ಯಾವ ಸಂಘಟನೆ ನಿಜವಾಗಿ ಸಂಚಾರವನ್ನು ಸಾಗಿಸಿತು ಎಂದು ಸಾಬೀತುಪಡಿಸಿ.
ಪ್ರತಿ ಸೈಟ್ನಲ್ಲಿ ಎರಡು WAN ಲಿಂಕ್ಗಳು ಅನಗತ್ಯ ಮೀಸಲು ಎಂದು ತೋರುತ್ತವೆ, ನಿರ್ದಿಷ್ಟ ಹರಿವು ನಿಜವಾಗಿ ಯಾವ ವಿಳಾಸ ಜೋಡಿಯನ್ನು ಬಳಸಿತು ಎಂದು ಸಾಬೀತುಪಡಿಸುವವರೆಗೆ. SRX ನಲ್ಲಿ ಒಂದು IKE ಗೇಟ್ವೇ ಒಂದು ಬಾಹ್ಯ ಇಂಟರ್ಫೇಸ್ ಮತ್ತು ಒಂದು ಸ್ಥಳೀಯ ವಿಳಾಸವನ್ನು ಸಾಗಿಸುತ್ತದೆ; ದೂರದ ಅಭ್ಯರ್ಥಿಗಳ ಪಟ್ಟಿ ಎರಡನೇ ಸ್ಥಳೀಯ ಮೂಲವನ್ನು ಸೃಷ್ಟಿಸುವುದಿಲ್ಲ. ಆದ್ದರಿಂದ ಈ ಮಾರ್ಗದರ್ಶಿ ಸಂರಚನೆಯಿಂದ ಅಲ್ಲ, ಜೋಡಿಗಳ ಮ್ಯಾಟ್ರಿಕ್ಸ್ನಿಂದ ಪ್ರಾರಂಭವಾಗುತ್ತದೆ, ಏಕೆಂದರೆ Junos ನಿಮ್ಮ ಉದ್ದೇಶದ ಅರ್ಧದಷ್ಟು ಸಂಯೋಜನೆಗಳನ್ನು ಮಾತ್ರ ಒಳಗೊಳ್ಳುವ ವಿನ್ಯಾಸವನ್ನೂ ಸುಲಭವಾಗಿ commit ಮಾಡುತ್ತದೆ. ನಾನು ಇದನ್ನು ಎರಡು SRX345s ನಲ್ಲಿ ಎದುರಿಸಿದೆ: ಬ್ಯಾಕಪ್ ಸುರಂಗ ಸ್ವಚ್ಛವಾಗಿ ಮೇಲೆದ್ದಿತು ಮತ್ತು ಹಿಂತಿರುಗುವಾಗ ಸಹ ಸೆಷನ್ ಅನ್ನು ಕೆಳಕ್ಕೆ ಎಳೆಯಿತು.
ಹಂತಗಳನ್ನು ಕ್ರಮವಾಗಿ ಪೂರ್ಣಗೊಳಿಸಿ: ಬೆಂಬಲಿಸಬೇಕಾದ ಜೋಡಿಗಳನ್ನು ಪಟ್ಟಿ ಮಾಡಿ, ಪ್ರತಿ ಸ್ಥಳೀಯ ಮೂಲಕ್ಕೆ ಒಂದು ಗೇಟ್ವೇ ನಿರ್ಮಿಸಿ, ಯಾವ ಸಂಘಟನೆ ಸಂಚಾರವನ್ನು ಸಾಗಿಸಿತು ಎಂದು ದೃಢೀಕರಿಸಿ, ಮತ್ತು ನಂತರವೇ ಪ್ರತಿ ರೀತಿಯ ವೈಫಲ್ಯ ಏನನ್ನು ಬದಲಾಯಿಸಬಹುದು ಎಂದು ನಿರ್ಧರಿಸಿ.
CLI ಮುಟ್ಟುವ ಮೊದಲು ಜೋಡಿಗಳ ನಕ್ಷೆ ಮಾಡಿ
ಸೈಟ್ A, A1 ಅಥವಾ A2 ರಿಂದ ಮೂಲ ತೆಗೆದುಕೊಳ್ಳಬಹುದಾದರೆ ಮತ್ತು ಸೈಟ್ B, B1 ಅಥವಾ B2 ನಲ್ಲಿ ಸ್ವೀಕರಿಸಬಹುದಾದರೆ, ನಿಮಗೆ ನಾಲ್ಕು ಬಾಹ್ಯ ವಿಳಾಸ ಜೋಡಿಗಳಿವೆ. ಹೆಚ್ಚಿನ ವಿನ್ಯಾಸಗಳಿಗೆ ಅವುಗಳಲ್ಲಿ ಎರಡು ನಿರಂತರವಾಗಿ ಬೇಕು, ಉಳಿದ ಎರಡನ್ನು ಆಯ್ಕೆಯೆಂದು ಪರಿಗಣಿಸಲಾಗುತ್ತದೆ. ಮ್ಯಾಟ್ರಿಕ್ಸ್ ಬರೆಯಿರಿ ಮತ್ತು ಪ್ರತಿ ಸಾಲನ್ನು ಗುರುತಿಸಿ, ಏಕೆಂದರೆ ನೀವು ಭರವಸೆ ನೀಡುವ ಪ್ರತಿ ಸಾಲು ನಂತರ ಒಂದು ಗೇಟ್ವೇ, ಒಂದು ಸುರಂಗ ಇಂಟರ್ಫೇಸ್ ಮತ್ತು ಒಂದು ರೂಟಿಂಗ್ ನಿರ್ಧಾರದ ವೆಚ್ಚ ತರುತ್ತದೆ.
| Local source | Remote candidate | Required? |
|---|---|---|
| A1, ISP1 address | B1 | steady state |
| A1, ISP1 address | B2 | decide explicitly |
| A2, ISP2 address | B1 | decide explicitly |
| A2, ISP2 address | B2 | backup path |
ಪ್ರತಿ ಅಗತ್ಯ ಜೋಡಿಗೆ ಒಂದೇ ಸಮಯದಲ್ಲಿ ಮೂರು ವಿಷಯಗಳು ಬೇಕು: ನಿಖರವಾಗಿ ಆ ವಿಳಾಸಗಳ ನಡುವೆ ತಲುಪಬಹುದಾದ underlay, ಎರಡೂ ತುದಿಗಳಲ್ಲಿ ಸಹಚರರ ಗುರುತು ಮತ್ತು ಮೂಲ ವಿಳಾಸದ ಪರಸ್ಪರ ಒಪ್ಪಿಗೆ, ಮತ್ತು ಸುರಕ್ಷಿತ ಹಿಂತಿರುಗುವ ಮಾರ್ಗ. ಒಂದೇ ದಿಕ್ಕಿನಲ್ಲಿ ಮಾತ್ರ ಕೆಲಸ ಮಾಡುವ ಜೋಡಿ ಆದರೂ ಸುರಂಗವನ್ನು ತೋರಿಸುತ್ತದೆ, ವೈಫಲ್ಯ ನಂತರ ಅಪ್ಲಿಕೇಶನ್ನ ಏಕದಿಶ ಸಂಚಾರವಾಗಿ ಹೊರಬರುತ್ತದೆ.
ಪ್ರತಿ ಸ್ಥಳೀಯ ಮೂಲಕ್ಕೆ ಒಂದು ಗೇಟ್ವೇ, ದೂರದ ಸೈಟ್ಗೆ ಅಲ್ಲ
ದೂರದ ವಿಳಾಸಗಳ ಪಟ್ಟಿ ಒಂದು ಗೇಟ್ವೇಗೆ ಸೇರಿದೆ, ಸ್ಥಳೀಯ ಮೂಲವೂ ಹಾಗೆಯೇ. IKE ಗೇಟ್ವೇ ಉಲ್ಲೇಖ ದೂರದ ವಿಳಾಸಗಳು, ಬಾಹ್ಯ ಇಂಟರ್ಫೇಸ್, ಸ್ಥಳೀಯ ವಿಳಾಸ ಮತ್ತು ಮೃತ ಸಹಚರರ ಪತ್ತೆಯನ್ನು ಪ್ರತ್ಯೇಕ ಸೆಟ್ಟಿಂಗ್ಗಳಾಗಿ ಇರಿಸುತ್ತದೆ, ಮುಖ್ಯ ಅಂಶ ಇದೇ: ಎರಡು ಸ್ಥಳೀಯ ಮೂಲಗಳು ಎಂದರೆ ಎರಡು st0 ಘಟಕಗಳ ಮೇಲೆ ಎರಡು ಗೇಟ್ವೇಗಳು. ಅವುಗಳ ನಡುವೆ IKE ನೀತಿಯನ್ನು ಹಂಚಿಕೊಳ್ಳುವುದು ಸರಿ; ಒಂದೇ ಗೇಟ್ವೇ ಇಟ್ಟುಕೊಂಡು ಅದು ತಾನೇ ಬೇರೆ ಮೂಲವನ್ನು ಆರಿಸಿಕೊಳ್ಳುತ್ತದೆ ಎಂದು ನಿರೀಕ್ಷಿಸುವುದು ಸರಿಯಲ್ಲ.
set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-onlyನಂತರ ಸುರಂಗಗಳನ್ನು ಸಂಪರ್ಕಿಸಿ ದೂರದ ಪ್ರಿಫಿಕ್ಸ್ಗೆ ಎರಡು next hop ಕೊಡಿ, ಪ್ರತಿ ಸುರಂಗಕ್ಕೆ ಒಂದು:
set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20ಒಂದು ಗೇಟ್ವೇ address ಬಗೆಯ ಎರಡು ಸೂಚನೆಗಳನ್ನು ಇಡಬಹುದೇ ಎಂಬುದು ಬಿಡುಗಡೆ ಮತ್ತು ಸಾಧನ ಯಾವ IKE ಪ್ರಕ್ರಿಯೆಯನ್ನು ನಡೆಸುತ್ತಿದೆ ಎಂಬುದನ್ನು ಅವಲಂಬಿಸಿದೆ. kmd ಆಧಾರಿತ ಹಳೆಯ Junos ಒಂದು ಗೇಟ್ವೇಗೆ ಒಂದೇ ದೂರದ ವಿಳಾಸವನ್ನು ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆ; ಹೊಸ ಬಿಲ್ಡ್ಗಳು ಹಲವು ಅಭ್ಯರ್ಥಿಗಳನ್ನು ನಿರ್ವಹಿಸುತ್ತವೆ ಆದರೆ ತಮ್ಮದೇ ಮಿತಿಗಳನ್ನು ಸೇರಿಸುತ್ತವೆ, ಮತ್ತು ಹೆಚ್ಚಿನ ಲಭ್ಯತೆ ಕ್ಲಸ್ಟರ್ಗಳು ಈ ಬೆಂಬಲ ಕಿರಿದಾಗುವ ಸಾಮಾನ್ಯ ಸ್ಥಳ. ಹಳೆಯ ಚಾಸಿಸ್ನಿಂದ ಇದನ್ನು ನಕಲಿಸುವ ಮೊದಲು ನಿಮ್ಮ ನಿಖರ ಬಿಲ್ಡ್ಗಾಗಿ ಬಿಡುಗಡೆ ಟಿಪ್ಪಣಿಗಳನ್ನು ನೋಡಿ.
ಯಾವ ಸಂಘಟನೆ ಪ್ಯಾಕೆಟ್ ಸಾಗಿಸಿತು ಎಂದು ದೃಢೀಕರಿಸಿ
ಎರಡು SA ಮತ್ತು ಎರಡು ಸುರಂಗಗಳು ಸೆಷನ್ ಯಾರು ಮುಂದೆ ಕಳುಹಿಸಿದರು ಎಂದು ಹೇಳುವುದಿಲ್ಲ. ಸಾಧನವನ್ನು ನೇರವಾಗಿ ಕೇಳಿ ಮತ್ತು ನೀವು ಉದ್ದೇಶಿಸಿದ ಜೋಡಿಯೊಂದಿಗೆ ಕ್ಷೇತ್ರಗಳನ್ನು ಹೋಲಿಸಿ:
show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packetsವಿಸ್ತೃತ ಔಟ್ಪುಟ್ ಪ್ರತಿ ಸಂಘಟನೆಗೆ ಸ್ಥಳೀಯ ಮತ್ತು ದೂರದ ಗೇಟ್ವೇಯನ್ನು ತಿಳಿಸುತ್ತದೆ, ಇದು ಅನಿರೀಕ್ಷಿತ ಮೂಲದಿಂದ ಒಪ್ಪಂದವಾದ ಸುರಂಗವನ್ನು ಗುರುತಿಸುವ ವೇಗವಾದ ದಾರಿ. ನಂತರ ಸಂಚಾರ ಕಳುಹಿಸುವಾಗ st0.1 ಮತ್ತು st0.2 ನಲ್ಲಿ ಪ್ರತಿ ಘಟಕದ ಪ್ಯಾಕೆಟ್ ಕೌಂಟರ್ಗಳನ್ನು ನೋಡಿ; ಏನನ್ನೂ ಸಾಗಿಸದ ಸುರಂಗ ತನ್ನ SA ಅನ್ನು ಉಳಿಸಿಕೊಂಡು ಸಾರಾಂಶದಲ್ಲಿ ಆರೋಗ್ಯಕರವಾಗಿ ಕಾಣುತ್ತದೆ.
ಪ್ರತಿ ವೈಫಲ್ಯಕ್ಕೆ ಅದರದೇ ಪತ್ತೆದಾರ ಕೊಡಿ
ಸಹಚರರ ಜೀವಂತಿಕೆ, ಸ್ಥಳೀಯ ಅಪ್ಲಿಂಕ್ ನಷ್ಟ, ಸುರಕ್ಷಿತ ರೂಟ್ ಹಿಂಪಡೆಯುವಿಕೆ ಮತ್ತು ಅಪ್ಲಿಕೇಶನ್ ಮುರಿತ ನಾಲ್ಕು ವಿಭಿನ್ನ ಘಟನೆಗಳು. DPD ಮೊದಲನೆಯದಕ್ಕೆ ಮಾತ್ರ ಉತ್ತರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಡೀಫಾಲ್ಟ್ ಬಿಟ್ಟು ಉಳಿದದ್ದನ್ನು ಅದು ಆವರಿಸುತ್ತದೆ ಎಂದು ಊಹಿಸುವ ಬದಲು ನೀವು ಸಮರ್ಥಿಸಬಹುದಾದ ಮಧ್ಯಂತರ ಮತ್ತು ಮಿತಿಯೊಂದಿಗೆ ಸಂರಚಿಸಿ:
set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1ದೂರದ ಸಬ್ನೆಟ್ ಒಳಗಿನ ಗಮ್ಯಸ್ಥಾನವನ್ನು ಪರೀಕ್ಷಿಸುವ ಸುರಂಗ ಮೇಲ್ವಿಚಾರಣೆ DPD ನೋಡಲಾಗದ ಸ್ಥಿತಿಯನ್ನು ಆವರಿಸುತ್ತದೆ: IKE ಜೀವಂತವಾಗಿದೆ, ಗೇಟ್ವೇ ಉತ್ತರಿಸುತ್ತದೆ, ಸುರಕ್ಷಿತ ಪ್ರಿಫಿಕ್ಸ್ ಆದರೂ ತಲುಪಲಾಗದ್ದು. ಎರಡರಲ್ಲಿ ಯಾವುದು ಆದ್ಯತೆಯನ್ನು ಎಳೆಯಬೇಕು ಎಂದು ಆರಿಸಿ, ಏಕೆಂದರೆ ಎರಡೂ ಒಟ್ಟಿಗೆ ಸಕ್ರಿಯವಾದರೆ ಸ್ವಚ್ಛ ಫೇಲ್ಓವರ್ ಬದಲು ಬದಲಾವಣೆಗಳ ಬಿರುಗಾಳಿ ಬರುತ್ತದೆ.
ದೂರದ ತುದಿಯನ್ನು ಮರೆಯಬೇಡಿ. ದೂರದ ಸೈಟ್ನಲ್ಲಿ ಸ್ಥಾಪಿತವಾದ ಆದ್ಯತೆಯ ರೂಟ್ ನೀವು ಈಗಾಗಲೇ ಬಿಟ್ಟ ಸುರಂಗದ ಕಡೆಗೇ ಸೂಚಿಸುತ್ತಿರುತ್ತದೆ, ಯಾವುದೇ ಸ್ಥಳೀಯ ಟೈಮರ್ ಅದನ್ನು ಸರಿಪಡಿಸುವುದಿಲ್ಲ. ಅದೇ ಆದ್ಯತೆಯ ತರ್ಕವನ್ನು ಎರಡೂ ಸಹಚರರಲ್ಲಿ ಪ್ರಕಟಿಸಿ, ಮರುಸ್ಥಾಪಿತ ಲಿಂಕ್ ಸಂಚಾರವನ್ನು ತಾನೇ ಹಿಂಪಡೆಯಬಹುದೇ ಅಥವಾ ಕೈಯಿಂದ ಬದಲಾಯಿಸಬೇಕೇ ಎಂದು ದಾಖಲಿಸಿ.
ಇನ್ನೊಂದನ್ನು ಮುಟ್ಟದೆ ಒಂದು ಲಿಂಕ್ಗೆ ಮತ್ತೆ ವಿಳಾಸ ಕೊಡಿ
ISP ನಿಮಗೆ ಹೊಸ ಬ್ಲಾಕ್ ಕೊಟ್ಟಾಗ, ಒಂದು ಬಾರಿಗೆ ಒಂದು ಸಂಬಂಧ ಬದಲಾಯಿಸಿ. ಆ ಜೋಡಿಗಾಗಿ ಎರಡೂ ಸಹಚರರಲ್ಲಿ address ಅಥವಾ local-address ನವೀಕರಿಸಿ, commit ಮಾಡಿ, ಮತ್ತು ಸಾಧನದಲ್ಲಿನ ಎಲ್ಲಾ SAಗಳನ್ನು ತೆರವು ಮಾಡುವ ಬದಲು ಪರಿಣಾಮಿತ ಸಂಘಟನೆಗಳನ್ನು ಮಾತ್ರ ಸೂಚ್ಯಂಕದಿಂದ ತೆರವು ಮಾಡಿ. ಜಾಗತಿಕ ತೆರವು ಆರೋಗ್ಯಕರ ಸುರಂಗವನ್ನೂ ಒಯ್ಯುತ್ತದೆ ಮತ್ತು ನಿರ್ವಹಣಾ ಕಿಟಕಿಯನ್ನು ಅಡಚಣೆಯಾಗಿ ಪರಿವರ್ತಿಸುತ್ತದೆ.
ಏನನ್ನಾದರೂ ಸ್ವಚ್ಛಗೊಳಿಸುವ ಮೊದಲು ಒಂದು ವಿಫಲ ಹರಿವು ಮತ್ತು ಅದರ ಸೆಷನ್ ವಿವರಗಳನ್ನು ಸಾಕ್ಷ್ಯವಾಗಿ ಇರಿಸಿ, ನಂತರ ಮೇಲಿನ ಪರಿಶೀಲನೆಗಳನ್ನು ಹೊಸ ವಿಳಾಸ ಜೋಡಿಯ ಮೇಲೆ ಮತ್ತೆ ನಡೆಸಿ. ಲಿಂಕ್ ಮರುಸ್ಥಾಪನೆ ಒಂದು ರೂಟಿಂಗ್ ನಿರ್ಧಾರ, ಆದ್ದರಿಂದ ಹಳೆಯ ಆದ್ಯತೆ ತಾನೇ ಮರಳುತ್ತದೆ ಎಂದು ಊಹಿಸುವ ಬದಲು ಹಿಂತಿರುಗುವಿಕೆಯನ್ನು ಪ್ರತ್ಯೇಕ ಪರೀಕ್ಷಿತ ಹಂತವೆಂದು ಪರಿಗಣಿಸಿ.
ಬದಲಾವಣೆಯನ್ನು ಸಣ್ಣ ಪರಿಶೀಲನಾ ಪಟ್ಟಿಯಿಂದ ಮುಚ್ಚಿ
ಎರಡು-WAN ಸುರಂಗ ವಿನ್ಯಾಸ ಪ್ರತಿ ಸೆಷನ್ ಹಿಂದಿನ ಜೋಡಿಯನ್ನು ಹೆಸರಿಸಬಹುದಾದಾಗ ಪೂರ್ಣಗೊಳ್ಳುತ್ತದೆ, ಎರಡೂ SA ಮೇಲಿರುವಾಗ ಅಲ್ಲ. ಕೆಳಗಿನ ಪಟ್ಟಿಯನ್ನು ನೀವು ನಿಜವಾಗಿ ಬದಲಾಯಿಸಿದ ಸಾಧನದಲ್ಲಿ ನೋಡಿ:
- ಪ್ರತಿ ಭರವಸೆ ನೀಡಿದ ಜೋಡಿಗೆ ಒಂದು ಗೇಟ್ವೇ, ಒಂದು st0 ಘಟಕ ಮತ್ತು ಒಂದು ರೂಟ್ ನಮೂದು ಇದೆ.
- ಪ್ರತಿ ಸುರಂಗವನ್ನು ಪ್ಯಾಕೆಟ್ಗಳನ್ನು ಸಾಗಿಸುತ್ತಿರುವುದನ್ನು ನೋಡಿದ್ದೇವೆ, SA ಮಾತ್ರ ಹಿಡಿದಿರುವುದನ್ನು ಅಲ್ಲ.
- ಎರಡೂ ತುದಿಗಳು ಪತ್ತೆ ಮತ್ತು ಯಾವ ಬದಿ ಆದ್ಯತೆಯನ್ನು ಮರುಸ್ಥಾಪಿಸುತ್ತದೆ ಎಂಬುದರಲ್ಲಿ ಒಪ್ಪುತ್ತವೆ.
- ಪ್ರತಿ ಜೋಡಿಯ ಹಿಂತಿರುಗುವ ಮಾರ್ಗ ಅದರ ಹೋಗುವ ಮಾರ್ಗದ ಪಕ್ಕದಲ್ಲಿ ಬರೆಯಲಾಗಿದೆ.
ಯಾವುದೇ ಸಾಲು ವಿಫಲವಾದರೆ, ಮುಂದಿನದನ್ನು ಸೇರಿಸುವ ಮೊದಲು ಆ ಜೋಡಿಯನ್ನು ಸರಿಪಡಿಸಿ; ಎರಡು ಅರ್ಧ ಚಾಲನೆಯ ಸುರಂಗಗಳನ್ನು ಒಂದರ ಮೇಲೊಂದು ಇಡುವುದು ಕೌಂಟರ್ಗಳನ್ನು ಅರ್ಥಹೀನ ಮತ್ತು failover ವರ್ತನೆಯನ್ನು ಊಹಿಸಲಾಗದಂತೆ ಮಾಡುತ್ತದೆ.