Эки IPsec шлюзу, жалпы IP жок: бузулууда которуу чындыгында эмне кылат

Жолугушуу учурунда A шлюзун өчүрүп, бир мүнөттөн кийин туннелдин B аркылуу кайтып келгенин көрүңүз; байланыш иштейт, видео чалуу иштебей калышы мүмкүн. Бул көз карандысыз даректери бар эки IPsec шлюзунун ортосундагы муздак которуунун чыныгы көрүнүшү. Клиент акыркы чекитти кайра тандап, жаңы мамиле курат, бул эски сессиянын криптографиялык абалын өткөрбөстөн жеткиликтүүлүктү калыбына келтирет. Ырааттуулукту байкоо дизайн кайсы убадаларды аткара аларын айкын кылат.

Сахнаны даярдаңыз: эки дарек, калкыма IP жок

A шлюзу бир жеткиликтүү даректе жооп берет, B шлюзу башкасында. A кеткенде B тандап алуунун уруксат берилген жолу клиентте бар жана эки шлюз тең талап кылган жалпы тышкы дарек жок. Бул дизайнда виртуалдык IP ошол жалпы кирүү чекитин билдирет, алыскы кирүү клиентине берилген ички даректи эмес.

Бул аныктама маанилүү, анткени эки идея билеттерде аралашат жана бирөөнү оңдоо экинчисин оңдоо эмес. Жалпы кирүү шлюзга ээрчибегени тууралуу отчет бир дизайнды сүрөттөйт. Ноутбук ички дарегин жоготкону тууралуу отчет клиенттин ижарасын сүрөттөйт. Ар кандай ээлер, ар кандай журналдар, ар кандай оңдоолор.

Бузулуудан өтүңүз: аныкта, анан кайра танда

Алгач бир нерсе A жооп берүүнү токтотконун байкайт. Бул туннел катмарындагы өлүк өнөктөштү аныктоо, жолду артка чакырган маршруттоо протоколу же акыры кайра туташууга мажбурлаган колдонмо таймауту болушу мүмкүн. Ар биринин убакыт шкаласы башка жана эң жайы адатта колдонуучулардын канча күтөрүн аныктайт.

Анан клиент жайылтуу колдогон механизм аркылуу B тандайт: экинчи конфигурацияланган алыскы чекит, соо дарекке чечилген DNS аты же эми башка жолду артык көргөн маршруттоо. Тандоо — саясат кадамы жана ал бузулууга чейин болушу керек, болбосо кокусунан болуп калат.

B эмнени мураска ала алат жана эмнени албайт

B A менен конфигурация шаблонун, сертификат берүүчү органды жана аутентификация саясатын бөлүшө алат. Ал тирүү коопсуздук бирикмелерин мураска ала албайт. Сессия ачкычтары, коопсуздук параметрлеринин индекстери жана ырааттуулук абалы A менен клиент түзгөн мамилеге таандык, ал эми B де алардын эч бири жок.

Бул абалды шлюздардын ортосунда жылдыруу чыныгы инженердик маселе, ошондуктан strongSwanдын жогорку жеткиликтүүлүк документтери аны конфигурация желеги эмес, кластердик дизайн катары карайт. Белгилүү бир кластердик рецепт булут тармагы үчүн жалпы жооп эмес жана аны колдоочу инфраструктурасыз көчүрүү үзгүлтүксүздүктүн ордуна татаалдыкты сатып алат.

Жаңы мамиле орнотуу

B тандалгандан кийин клиент жаңы IKE алмашуусун жасайт: жаңы nonce маанилери, жаңы Diffie-Hellman маанилери, пайда болгон бирикмелер үчүн жаңы идентификаторлор. Аутентификация кайра B де болот. Эгер дизайн машиналык каттоо маалыматтарына таянса, кайра туташуу көзөмөлсүз болушу мүмкүн; эгер адам фактору талап кылынса, которууну аяктоо үчүн бирөө катышуусу керек.

Бул колдонуучу тажрыйбасын үзгүлтүктөн мурун аныктаңыз, үзгүлтүк учурунда эмес. Клиент эмне кыларын, канча убакыт аракет кыларын жана баш тартканда эмнени көрсөтөрүн ачык айтыңыз, анткени бир мүнөттүк кайра туташуу менен колдоо чалуусунун айырмасы адатта документтер жана сыналган профиль.

Ошол эле ички даректи сактоо туруктуу жергиликтүү инсандыкты күткөн колдонмолорго жардам берет жана алардын сессияларын сактабайт. NAT байланыштары бүтөт, TCP туташуулары кайра коюлат жана өз таймауту бар нерсе кайра аракет кылууну өз алдынча чечет.

Эки туннел катар — бул башка дизайн

Эки туннелди бир убакта иштетүү эки шлюз жана маршруттоо дизайны колдогондо жарактуу үлгү. Анда маршрут тандоо активдүү жолду тандайт жана кайтуу жолу дал келиши керек, болбосо трафик бир шлюзден чыгып, экинчисинен кайтат, аны дал келтире турган абалсыз.

Кайчылашкан туннелдик саясаттар өз алдынча тартиптүү которуу жаратпайт. Алар эки талапкерди жаратат жана алардын ортосунда бир нерсе детерминдүү түрдө чечиши керек: маршрут метрикасы, саясат артыкчылыгы же клиенттеги ачык артыкчылык.

Кандай форманы тандабаңыз, келишимди жазыңыз: бузулуу кантип аныкталат, альтернатива кантип тандалат, ал кандай аутентификация талап кылат жана кайра туташуу канча убакыт алат деп күтүлөт. Жалпы IP табууну жеңилдетиши мүмкүн, бирок ал үзгүлтүксүз абалдын синоними эмес жана жеткиликтүүлүк кандай болбосун дизайн.