Wéi een eng VPN-Failover-Politik um Router ouni Lecher baut

De Failover huet genee esou geschafft wéi konfiguréiert, an dat war de Problem. Wéi den Haaptunnel gefall ass, huet den Router d'Standardroute op de Kabelmodem verréckelt, d'Laptopen hu weidergeschafft a keen huet ugeruff. Zwee Deeg méi spéit huet een gemierkt, datt de Finanzshare sechs Stonnen iwwer den oppenen Internetwee erreechbar war. Eng VPN-Failover-Politik um Router ass net en Routingstrick; et ass eng Entscheedung doriwwer, wat den Traffic maache soll, wann de bevorzugten Wee fort ass, an déi Entscheedung muss existéieren, ier de Wee verschwënnt.

Entscheet d'Resultat, ier Dir den Detektor wielt

Normalerweis sti dräi Resultater um Dësch: déi betraffe Cliente duerch en Backup-Tunnel schécken, si den normale WAN benotze loossen oder se komplett blockéieren. Schreift op, wat fir wéi eng VLAN, SSID oder Geräteklass gëllt. Eng eenzeg flaach “op WAN wiesselen”-Regel ass de Grond, firwat de Finanzshare uewen op engem ëffentleche Wee gelant ass.

Déi dräi sinn net austauschbar. WAN-Fallback hält den Support um Telefon, während en intern Nimm dem lokalen Resolver ausleet. En Backup-Tunnel behält d'Politik, awer kann op enger Ausgangsadress landen, déi déi aner Säit net akzeptéiert. Blockéieren ass richteg fir eng Payroll-VLAN a falsch fir en Gaaschtnetz, dat den Tunnel ni benotzt huet.

Passt den Detektor un de Feeler un, virun deem Dir wierklech Angscht hutt

Den Handshake-Zoustand, den Interface-Zoustand an déi benotzbar Weiderleeung sinn dräi verschidde Signaler, an nëmmen de leschte mécht engem Benotzer eppes aus. En WireGuard-Peer kann en rezenten Handshake weisen, während den Upstream vum Ubieder Päck an e schwaarzt Lach geheit. OpenVPN de Client kann op “verbonnen” sëtze bleiwen, nodeems d'Route, déi en gedréckt huet, net méi opgeléist gëtt.

Op pfSense ass déi praktesch Ariichtung eng Gateway-Grupp, déi vum dpinger gefiddert gëtt, deen eng Iwwerwaachungsadress probéiert an en Gateway als erof markéiert, wann Verloscht oder Latenz seng Schwellen iwwerschreiden. Richt dës Iwwerwaachung op eppes baussent dem Tunnel, zum Beispill en Host am fernen LAN oder eng ëffentlech Adress, déi Dir duerch en erreecht. Se op d'Peer-Adress vum Tunnel selwer ze riichte moosst deen Deel, vun deem Dir schonn wësst, datt en lieft.

Baut d'Grupp esou, datt de Backup de leschte Mëttel bleift

Benotzt Stufen amplaz enger flaacher Memberlëscht. Primär an der Stuf 1, Backup-Tunnel an der Stuf 2, WAN an der Stuf 3 nëmme fir déi VLANen, deenen hir Politik et erlaabt. Op pfSense steet dëst ënner System > Routing > Gateway Groups: füügt béid Gateways bäi, gitt hinnen ënnerschiddlech Stufen, setzt Trigger Level op member down plus packet loss, späichert a wendt d'Grupp dann als Interface-Standard oder am Gateway-Feld vun de Firewallregele un, déi se brauchen.

Fir eng OpenVPN-Clientinstanz op pfSense 2.5 a méi spéit entscheet d'Default Gateway-Astellung vun der Instanz, ob den Tunnel d'Systemstandardroute iwwerhaapt ersetzt. Politik-Routing no Regel verhält sech nëmmen esou wéi Dir erwaart, wann d'Route, déi Dir unhëlt, tatsächlech installéiert ass. Kontrolléiert Status > Gateways no der Ännerung, amplaz dem Tunnelstatus-Ikon ze vertrauen.

Zwee Astellunge verursaache de gréissten Deel vum Flattern. Eng ass en Testintervall, dee méi kuerz ass wéi d'Rekonvergenz vum Ubieder selwer. Déi aner ass eng Grupp, an där Primär a Backup eng Stuf deelen, sou datt béid ëmmer qualifizéiert bleiwen. Füügt Hysterese iwwer Verloscht- a Latenzschwellen derbäi, ier Är Benotzer d'Iwwergäng fir Iech fillen.

Maacht d'Weeër zou, déi den Tunnel ni besaas

Fir d'éischt DNS-Lecher. De Resolver äntwert weider um WAN a leet do eraus weider, sou datt Nimm weider iwwer den ISP opgeléist ginn, während den Traffic um Tunnel festgehalen ass. Beschränkt dem Resolver seng Ausgangsinterfacen, dréckt den internen Resolver op d'Cliente an blockéiert Port 53 fir alles anescht op den nëmmen-VPN-VLANen.

IPv6 brauch seng eege Entscheedung. En Dual-Stack-LAN kann den Tunnel verléieren an eng funktionéierend global IPv6-Standardroute behalen, sou datt Browser IPv6 virzittelen an iwwer de WAN erausgoen, während IPv4 perfekt agegrenzt ausgesäit. Entweder rout Dir IPv6 an den Tunnel, oder Dir hält op e globalen Prefix ze annoncéieren, während den Tunnel erof ass. Eng hallef Politik ass schlëmmer wéi keng, well et ausgesäit wéi wann et funktionéiert.

Da kënnt de Retourwee. Wann den Backup-Ausgang eng aner Quelladress benotzt, muss déi aner Säit wëssen, wéi den Traffic zréck geschéckt gëtt, an all Zoustand, dee mat der aler Adress verbonnen ass, ass schonn dout. Sessiounen, déi oppe waren wéi de Primär gefall ass, migréiere net; si sti bis se oflafen an d'Applikatioun entscheet, wat se domat mécht.

Test de Fall, de Flatter an de Wee zréck

Zitt de Primär eraus wärend harmlosem Traffic leeft, a liest dann véier Saachen: Status > Gateways fir d'Memberzoustänn vun der Grupp, pfctl -ss fir Zoustate, déi nach um ale Gateway hänken, en traceroute vun engem Client fir den Ausgangswee an eng Resolver-Ufro, fir ze gesinn, wéi ee Server geäntwert huet.

Loosst et elo flattern. Huelt de Primär drësseg Sekonnen erop, drësseg erof, zweemol. Wann den Traffic all Iwwergang nogeet, sinn d'Schwellen ze enk oder d'Stufe falsch. Reparéiert dat no Ärem Plang, well soss wäert en Ubieder et no sengem maachen.

Bestätegt zum Schluss, datt Dir de Router nach administréiere kënnt. Halt en Aufgabe-Band-Wee wéi e Konsolkabel, eng Verwaltungs-VLAN oder e Mobilmodem. En Failover-Test, deen Iech ausschléisst, ass en Test, deen Dir net fäerdeg maache kënnt, an en onereechbare Router kann net vun sech aus zréckkommen.

Ier Dir d'Politik fäerdeg nennt, sollt Dir véier Froen beäntwere kënnen ouni en Terminal opzemaachen: wéi eng VLANen den WAN benotze kënnen, während den Tunnel erof ass, wat den Detektor iwwerwaacht a wéi laang en waart, wéi eng Nimm-Server an IPv6-Routen mam Wee bewegen, a wéi Dir erëm Era kommt, wann de Backup och versoe kënnt. Wann eng Äntwert “wat och ëmmer den Standard war” ass, gehéiert d'Politik nach ëmmer dem Router an net Iech.