Экинчи WAN VPN жазуусу иштебейт, ал эми негизгиси иштей берет

Негизги туннель көтөрүлгөн бойдон турат, колдонуучулар ишин улантат, ал эми экинчи ISP линиясы эмнени өзгөртсөңүз да бош турат. Сиз камдык линия үчүн дарек жарыяладыңыз, ага ат багыттадыңыз, балким кардарга камдык жазуу коштуңуз, жана кардар аны эч качан сынабайт же аутентификациядан өтүп, анан өлөт. Мен көзөмөлдөгөн учурларда failover функциясы адатта тартибинде эле; жетишпегени — жазууну пайдаланууга жарактуу кылган беш нерсенин бири. Ат камдык дарекке чечилиши мүмкүн, бирок ал интерфейсте эч нерсе укпайт, жана угуучу туташууну кабыл алышы мүмкүн, бирок жооп негизги аркылуу чыгат. Ар бир WAN-ды өз келишими бар өзүнчө жазуу катары караңыз, ошондо бузулуу кардардын катасындай көрүнбөйт.

Ар бир WAN өзүнүн жазуу келишимине муктаж

Ар бир WAN үчүн беш талаа жазып алыңыз: жарыя аты жана дареги, ташуу жана порт, аны бүтүрүүчү интерфейс же контекст, сунушталышы керек болгон өнөктөш кимдиги жана жооп кайдан чыгат. Эки линия эки толук топтомду билдирет. Эгер экинчи топтомдо бүтүрүүчү интерфейс же кайтуу жолу болбосо, камдык жазууңуз жок; ниетти сүрөттөгөн DNS жазууңуз бар.

Түзмөк жана анын версиясы да бул жайгашууну колдошу керек. DNS жазуусу башка интерфейсте кызмат ача албайт, жана көптөгөн платформаларда угуучу түзмөк боюнча эмес, дарек боюнча конфигурацияланат. ASA-да интерфейске негизделген IPsec крипто-карталарды жана туннель топторун сырткы интерфейске байланыштырат, ошондуктан экинчи жогорку каналга бул пакеттер чындап келген жерде саясат керек. Маршрутка негизделген долбоорлор башкача жүрүшөт: угуучу ар бир дарекке же бир аталган дарекке байланыша алат, жана бул тандоо ISP B жооп бере алабы — ошону чечет.

Экинчи WAN чындап жооп берерин текшериңиз

Эки линиянын сыртынан текшериңиз, шлюздун артындагы машинадан эмес, жана кардар профили колдонгон так атты текшериңиз. TLS угуучусу үчүн тез текшерүү — openssl s_client -connect ADDRESS:443 -servername vpn.example.com -showcerts , аны тармагыңыздан тышкаркы хосттон иштетесиз. Профилдеги атка дал келген чынжыры бар бүткөн кол алышууну каалайсыз, туташууну кабыл алган TCP портту гана эмес.

RFC 9525 кардар эмнени текшерерин түшүндүрөт: жетүүнү ниет кылган кимдикти кызмат сунуштаган сертификат менен салыштырат. Негизги жазуунун сертификатын кайтарган же эки аттын бирин да тизмелебеген демейки сертификат сунуштаган экинчи жазуу бул сынактан өтпөйт, порт ачык жана брандмауэр уруксат берсе да.

Бул жердеги бузулуулардын көбүн эки үлгү түшүндүрөт. Илинип калган туташуу адатта ошол интерфейсте угуучу жоктугун, негизги субтармактарга гана уруксат берген кирүү эрежесин же экинчи линиянын алдындагы оператор түзмөгү портту таштап жатканын билдирет. Туура эмес кимдик менен бүткөн кол алышуу адатта башка trustpoint, демейки виртуалдык хост же кимдикти тууралабастан негизгиден көчүрүлгөн конфигурацияны билдирет.

Жоопту көзөмөлдөңүз, сурамды гана эмес

Экинчи WAN адатта кайтуу жолунда бузулат. Сурам ISP B аркылуу келет, түзмөк жооп берет, жана жооп ISP A-дагы демейки маршрут менен кардар эч качан сурабаган булак дареги менен чыгат. Абалы бар котормо муну начарлатат: эгер карта негизги интерфейс үчүн курулган болсо, кайтып келген пакет котормодон өтпөйт же кардардын брандмауэри таштаган булакты алып жүрөт. Провайдерлер өздөрү берген линияга таандык эмес булак даректерин да ташташат, ошондуктан бул таза протокол катасы эмес, бир багыттуу кара чуңкурдай көрүнөт.

Экинчи жазуудан чыккан трафик үчүн маршруттоо чечимин текшериңиз. Жооп сурам келген интерфейстен чыгышы керек, же жок дегенде алыскы тарап ошол жолго таандык деп кабыл алган даректи алып жүрүшү керек. Саясаттык маршруттоо платформаларында бул кирүүчү интерфейске же которулган булакка байланган эрежени, кошумча ар бир сырткы интерфейске байланган котормо билдирүүсүн билдирет. Кардар туташканда эки интерфейсте бир убакта жазып алыңыз; ISP B-ге келген SYN жана ISP A-дан чыккан SYN-ACK маселени бир жүгүртүүдө чечет.

Кардарга экинчи жазуу жөнүндө билүү жолун бериңиз

Failover — кардар тараптагы чечим, жана ар бир кардар үй-бүлөсү альтернативаларды өзүнчө үйрөнөт. ASA-да камдык серверлердин тизмеси топтук саясаттын webvpn атрибуттары аркылуу берилет, ал эми башка кардарлар профилдин ичиндеги тизмени же колдонуучу тандаган кол менен жасалган экинчи профилди күтүшөт. Cisco-нун туташуу саясаты боюнча колдонмосу кардарда конфигурацияланган жана шлюз сунуштаган камдык маалыматты тең сүрөттөйт, жана бул протоколго таандык деталдарды ар бир кардарга же туннель режимине жалпылоого болбойт. Экинчи жазууну туура эмес механизмдин айланасында куруудан мурун жайгаштырылган кардар кайсы механизмди ишке ашырарын тастыктаңыз.

Механизм кандай болбосун, кардар негизги жолду жоготконго чейин альтернатива атты чече алышы керек. Адамдар ушул көз карандылыкты унутушат: эгер камдык атка жакында иштебей калган туннель аркылуу гана жетүүгө боло турган чечүүчү жооп берсе, камдык вариант баштала да албайт. Экинчи атты жергиликтүү же интернет аркылуу жооп берген чечүүчүдө жарыялаңыз. Ооштон кийин жаңы аутентификация жана жаңы колдонмо сессиясын күтүңүз, анткени кардардын failover-ы абалы бар failover эмес жана узак сессиялар андан аман калбайт.

Эки провайдердеги бир дарек — башка продукт

Бир жарыя даректи эки линия аркылуу жеткиликтүү кармоо — маршруттоо кызматы, VPN-деги белги кутуча эмес. Ага эки провайдер тең ташууга даяр болгон дарек мейкиндиги керек, ал алардын тармактары кабыл алгандай жарыяланышы керек, жана муну провайдерден көз карандысыз мейкиндик жана BGP менен мультихоминг берет. ISP A дарегин ISP B интерфейсине дайындоо ага алып барбайт; пакет префиксти эч качан жарыялабаган тармакка жетет жана жогоруда ташталат.

Эки жазууну жарыялоо үчүн булардын эч бири керек эмес. Эгер кардар эки атты кармай алып, алардын ортосунда оошо алса, эки көз карандысыз жазуу жетиштүү, жана сиз AS номеринен, peering келишиминен жана бардык жерде кабыл алынышы керек болгон префикстен кутуласыз. Көчмө дарек вариантын кардарларды кайра конфигурациялоо мүмкүн эмес бир туруктуу кирүү чекити чындап керек болгондо гана же TTL кечигүүсү бар DNS негизиндеги failover сиз долбоорлогон үзгүлтүк үчүн өтө жай болгондо гана карап чыгыңыз.

Андан ары эмнени текшерүү керек

Иштебей калган жазуудан сыртка карай ушул тартипте иштеңиз: экинчи дарек сырттан жооп береби, кардар күткөн кимдикти сунуштайбы, жооп сурам келген жол менен чыгабы, жана кардар атты керек болгонго чейин үйрөнө алабы. Жооп жок жерде ошол катмарды оңдоп, сыноо хост менен эмес, жайгаштырылган профил менен кайра сынаңыз, анткени лабораториядагы кол алышуу чыныгы кардардын бүткөн туташуусунан аз далилдейт.

Ар бир WAN үчүн дарек, порт, бүтүрүүчү интерфейс, сертификат аты, кайтуу жолу жана котормо эрежеси бар кыска жазуу кармаңыз жана линия, NAT түзмөгү же кардар версиясы өзгөргөн сайын аны кайра текшериңиз. Бош камдык жолдор үнсүз чиришет: эч ким колдонбогон жазуу жөнүндө баары ага көз каранды болгон күнгө чейин эч нерсе эскертпейт.