pfSense'те OpenVPN'дин үч түрдүү которуу ыкмасы, үч механизм

pfSense'те „OpenVPN failover“ жок дегенде үч өз ара байланышпаган долбоорду камтыйт жана алардын ар бири башка механизмди талап кылат. Туннелди камдык интернет линиясы аркылуу тирүү кармоо, башка серверге кайра туташуу жана LAN трафигин башка орнотулган туннелге багыттоо — бул бир функциянын варианттары эмес. Шлюз тобун куруудан мурун кайсы бузулуудан коргонууну тандаңыз. Бирөөнү оңдогон топ калган экөө үчүн эч нерсе кылбайт.

Топ куруудан мурун бузулууну атаңыз

Үзгүлтүк учурунда туура болушун каалаган сүйлөмдү жазыңыз. „Туннель камдык WAN аркылуу кайра туташат“ жана „филиал колдонмого башка туннель аркылуу жетүүнү улантат“ — ар башка сүйлөмдөр. Бир гана биринчиси ташууга тиешелүү.

Анан аны механизм менен дал келтириңиз. Жергиликтүү WAN жоготуу — интерфейс тандоо маселеси, өлүк алыскы акыркы чекит — туташуулар тизмесинин маселеси, ал эми орнотулган туннелдин ичиндеги жараксыз жол — маршруттоо жана саясат маселеси.

Жергиликтүү WAN: ташууну жылдыруу

pfSense OpenVPN кардары үчүн колдоого алынган көп WAN түзүлүшү кардар байланышкан интерфейс катары ылайыктуу шлюз тобун тандайт. Негизги линия иштебей калганда тышкы туташуунун камдык линия аркылуу чыгышына мүмкүндүк берген дал ушул. Өз алдынча ички трафиктин кантип маршрутталышын өзгөртпөйт.

Ошол долбоордун сервер жагы өзүнчө. Бир нече жамааттык дарек аркылуу жеткиликтүү болушу керек OpenVPN серверине ошол жазуулардын ар бири үчүн угуучу жана кирүү саясаты керек, эки линия аркылуу чала билген кардар гана эмес. Иштеген бир жамааттык жазуу экинчисинин конфигурацияланганына далил эмес.

Жөнөтүлүүчү LAN пакеттери үчүн саясатка негизделген маршруттоо эрежеси жергиликтүү түрдө түзүлгөн VPN ташуу туташуусун жылдырган жөндөө эмес. Бул эки башка издөө, жана бирөөнү өзгөртүү экинчисин өзгөртпөйт.

Алыскы акыркы чекит: башка сервер

Альтернативалуу remote — туташуулар тизмесинин функциясы. Кардар учурдагы жазуу жооп бербегенде кийинкисин сынап көрөт, бул белгилүү бир хост иштебей калганда пайдалуу, өзүңүздүн жогорку линияңыз иштебей калганда эмес. Эки бузулуу колдонуучунун столунан окшош көрүнөт жана ар башка оңдоолорду талап кылат.

Ар бир талапкер чыныгы алмаштыруучу болушу керек: шайкеш аутентификация, шайкеш кардар саясаты жана ошол эле жеке ресурстарга жетүү. Ошол эле бузулган инфраструктурага чечилген экинчи хост аталышы камдык эмес. Керектүү маршруту жок сервер да эмес, кол алышуусу канчалык соо көрүнсө да.

Бул механизм эки туннелди бир убакта жөнөтүүгө мажбурлабайт. Бир туташууну экинчиси менен ырааттуу алмаштырат, жана алардын ортосундагы үзгүлтүк иштеп жаткандын баарына көрүнөт.

Туннелдин жолу: башка чыгууну тандоо

Эки туннел турганда жана трафик соорокту пайдаланышы керек болсо, механизм — өз шлюзу бар дайындалган VPN интерфейси жана туура трафикти ошол жакка жөнөткөн ачык саясат эрежеси. Ошол дайындалган интерфейстер үстүндөгү шлюз тобу артыкчылык менен мониторингди билдире алат.

Бул долбоор тандоо жөнүндө, калыбына келтирүү жөнүндө эмес. Жаңы туташууларды экинчи туннелге жылдыруу биринчиде мурунтан орнотулган сессиялар жөнүндө эч нерсе айтпайт жана каршы тарап жаңы баштапкы даректи кабыл алабы, ал жөнүндө да эч нерсе айтпайт. Ага калыбына келтирүү механизми катары мамиле кылуу — күтүүлөрдү өтө бийик коюунун жолу.

Талап бар сессиялардын тирүү калышы болсо, аны ачык айтыңыз. Көпчүлүк ишке ашыруулар тирүү агымды туннелдердин ортосунда көчүрбөйт, ал эми көчүрөт деп долбоорлоо схемада туура көрүнгөн, иш жүзүндө ар бир ачык туташууну таштаган которууну берет.

Мониторлор, NAT жана fail-closed эрежеси

Монитор туннель жеткириши керек болгон нерсени текшерүүгө тийиш. Туннель өнөктөшүнөн жооп берген, бирок анын артындагы колдонмо тармагынан бербеген максат колдонуучулар эч нерсе көрбөгөндө соо деп билдирет. Жеткиликсиз диагностикалык максат жол тартибинде болгондо өлүк деп билдирет. Даректи атайын тандаңыз жана ага тек көздөлгөн туннель аркылуу жетүүгө болорун ырастаңыз.

Эки чыгуу үчүн чыгуучу NAT'ты текшериңиз. Негизгиде иштеген которуу камдыктын баштапкы дарегин сүрөттөбөйт, ал эми алыскы жеке тармак сиз сунуштаган булакка дал келген кайтаруу маршрутун талап кылат. Бир жолдо туура которуу экинчисинде байкалбастан туура эмес болушу мүмкүн.

Анан WAN'ды эч качан пайдаланбашы керек болгон трафикке эмне болорун чечиңиз. pfSense'те тандалган шлюзу иштебей калган эрежелер үчүн аныкталган жүрүм-турум бар, ал эми кийинки кең уруксат эрежеси же демейки маршрут ниетиңизди жокко чыгарышы мүмкүн. Бөгөттөлгөн натыйжаны талап катары жазып алыңыз, анан жолду өчүрүү менен аны текшериңиз.

Жоготуу менен калыбына келтирүүнү өзүнчө, өзүңүзгө жаратууга уруксат берилген трафик менен сынаңыз жана бир убакта үч нерсени көзөмөлдөңүз: тышкы туташууну алып жүргөн WAN, колдонмо сурамын алып жүргөн туннель жана жооптун карманган жолу. Бир жуп жашыл шлюз индикатору ошол үчөөнүн бири эмес. Netgate'тин көп WAN боюнча колдонмосу мунун негизинде жаткан ташуу байланышын жана экспорттолгон кардар альтернативаларын сүрөттөйт.