DPD 타이머를 줄인다고 VPN 페일오버가 빨라지지는 않는다

터널이 끊기고 복구에 구십 초가 걸리며 데드 피어 타이머가 십으로 설정되어 있으니 타이머가 비난받는다. 그 추론은 감지 후에 일어나며 보통 시간의 대부분을 차지하는 세 단계를 건너뛴다. 생존 감지는 침묵을 알아차린다. 이어서 피어 선택, 인증, 경로 설치, 애플리케이션 재연결이 각자 차례를 가져간다. 첫 단계를 줄인다고 나머지가 줄어들지 않으며, 이미 어려움을 겪던 시스템에 불안정을 더할 수 있다.

네 단계, 그중 하나는 시간을 잴 수 있다

복구를 타임스탬프가 붙은 네 사건으로 적는다. 실패는 관찰 가능해진다: 마지막으로 유용했던 보호 트래픽과 첫 번째 실패한 요청. 소유 메커니즘이 반응한다: 생존 감지, 경로 모니터, 또는 다른 문서화된 트리거. 대안이 사용 가능해진다: 피어 선택, 인증, 새 연결, 그리고 의도한 트래픽을 실제로 나르는 경로. 애플리케이션이 복구된다: 새 작업이 성공하고 진행 중이던 일에 정해진 결과가 생긴다.

IKEv2의 생존 규칙은 피어와 그 교환에 관한 증거를 설명할 뿐, 그 피어 뒤의 데이터베이스나 파일 서비스에 대해서는 아무것도 말하지 않는다. 생존 타임아웃을 전체 경로의 상태 검사로 읽는 것이 타이머 사냥을 시작하는 실수다.

타이머가 가장 흥미롭지 않은 숫자인 이유

설정된 값은 서로 바꿀 수 있는 단위가 아니다. 어떤 것은 재시도 간격이고, 어떤 것은 시도의 상한이며, 어떤 것은 다른 것들과 동시에 실행된다. 이들을 더하면 예측처럼 보이지만 소문처럼 행동하는 숫자가 나온다. 곧 건드릴 필드의 문서를 읽고 세 가지 중 어느 것인지 적어 두라.

다른 단계는 아예 타이머가 아니다. 재연결 백오프, 대화형 인증 프롬프트, 또는 재시작할 때만 구성을 다시 평가하는 클라이언트는 각각 장애를 지배할 수 있다. 그동안 모든 프로토콜 타이머는 편안하게 낮게 앉아 있다.

실제로 느린 단계를 측정하라

실패를 한 번, 양쪽 타임스탬프와 함께 포착한 뒤 프로토콜 자체의 카운터가 아니라 네 사건을 비교하라. 제대로 수행한 관찰 창 하나가 한 달의 조정보다 낫다.

ip -4 route get 203.0.113.10
tcpdump -ni any -c 20 "esp or icmp"

대안 엔드포인트가 결코 응답하지 않는다면 타이머 변경은 아무 도움이 되지 않는다. 도달 불가는 감지 문제가 아니기 때문이다. 새 보안 상태가 빠르게 형성되어도 경로가 여전히 죽은 길을 가리킨다면 문제는 경로 설치에 있고, 추가 생존 조정은 불안정만 더한다.

대안은 이미 사용 가능해야 한다

구성에 정의된 백업은 작동하는 백업이 아니다. 클라이언트의 현재 네트워크에서 도달할 수 있어야 하고, 같은 신원을 인증할 수 있어야 하며, 같은 정책 아래 같은 트래픽을 나르도록 허용되어야 한다. 장애 중에 이 세 가지 공백 중 하나라도 발견하면 타이머 논의는 무의미해진다. 기본이 건강할 때 대안을 시험하라. 두 로그를 나란히 읽을 수 있는 유일한 때이기 때문이다.

대안을 미리 준비하고, 기본이 건강할 때 의도적으로 시험하고, 네 단계 중 어느 것이 시간을 쓰는지 기록하라. 그 기록이 다음 변경을 추측이 아니라 측정으로 만든다.

페일백 불안정과 관리 경로

기본을 복원하는 것은 별개의 결정이다. 공격적인 페일백은 백업에서 이미 복구된 작업을 방해할 수 있고, 실제 결함이 두 개의 동등한 선택 사이에서 계속 흔들리는 경로일 때 흔들리는 경로는 불안정한 터널처럼 보일 수 있다.

선호가 없는 두 개의 동등 비용 경로는 눈에 보이는 흔들림의 흔한 원인이다. 각 모니터가 다른 쪽의 선택에 반응하기 때문이다. 정상 조건에서 어느 경로가 선호되는지 결정하고, 그 선호를 경로 순서에 맡기지 말고 구성에서 명시하라. 원하는 페일백 동작과 그 소유자를 미리 정의하라. 이전 설정과 독립적인 관리 경로를 유지하라. 장애 중에 자신의 접근을 없애는 변경은 네트워크 사건을 현장 방문으로 바꾸기 때문이다.

그런 다음 같은 워크로드를 반복하고 같은 네 타임스탬프를 비교하라. 같은 빠진 경로나 로그인을 애플리케이션이 계속 기다리게 하는 더 짧은 복구는 진전이 아니라 같은 그래프 위의 다른 숫자다.