Zweeten VPN-Endpunkt: wat en deckt an wat net

Zwéi Endpunkte gesinn op Pabeier aus wéi Redundanz. An der Praxis hëlleft eng zweet Adress nëmmen, wann d’Cliente se kënnen ereechen an wann se de Feeler ëmgeet, op deen Dir Iech virbereet. Zwéi Server hannert der selwechter Zougrëffsverbindung, dem selwechten Kont oder dem selwechten Zilnetz falen zesummen aus. Déi nëtzlech Fro ass, wéi een eenzegen Feeler den zweeten Endpunkt ewech hëlt.

Vergläicht wat béid Endpunkten deelen

Lëscht op, wat béid Endpunkten gemeinsam hunn, ier Dir zielt, wat se duebel maachen. Hostingplaz, Providerkont, Upstream-Transit, DNS-Hosting, d’Identitéitsquell an d’privat Ressource hannert dem Tunnel stellen entweder eng gedeelt oder eng onofhängeg Ofhängegkeet duer. Zwou virtuell Maschinnen an enger Regioun deelen en Ausfall beim Provider. Zwou Regiounen ënner engem Kont deelen nach ëmmer d’Fakturatiounsbezéiung an d’Kontrollfläch, déi se schaaft.

D’Zilnetz verdéngt déi selwecht Behandlung. En gesonde Reserve-Gateway kann en NAS, deen offline ass, net restauréieren, an en erreecht keen Office-Netz, deem säin Uplink erofgefall ass. Wann béid Endpunkten an dat selwecht privaten Subnetz enden, setzt deen Zweeten nëmmen e Wee bäi zu engem Zil, dat schonn deen eenzegen Ausfallpunkt ass.

D’Identitéit ass d’Ofhängegkeet, déi d’Leit vergiessen. D’Klonen vum Zertifikat an der Konfiguratioun op en zweeten Host schaaft zwou Plazen, wou déiselwecht Umeldungsinformatioune kënne kopéiert ginn, a seet näischt doriwwer, wéi Widderruffungen erreechen.

Entscheet wéi e Client wiesselt

En zweeten Endpunkt ass nëmmen nëtzlech, wann de Client en kennt an en ouni Supportufruff ka wielen. OpenVPN-Verbindungsprofiler kënnen e puer remote-Linnen mat enger Auswielpolitik droen, an déi meescht Cliente bidden en alternative Profil am Menü un. Egal wéi de Mechanismus, schreift op, wéi en Är Benotzer hunn, well e Profil, deen se net fannen, ass kee Failover.

Liest d’Clientdokumentatioun iwwer Adressännerungen während enger Sitzung. E puer Implementéierungen halen de urspréngleche Peer fir d’Liewensdauer vum Tunnel a konsultéieren Alternativen eréischt bei der Neiverbindung. Dee Ënnerscheed entscheet, ob en doudegen Endpunkt eng kuerz Ënnerbriechung oder eng Sitzung produzéiert, déi ni erëm erofkënnt. Test de Wee vun der Neiverbindung, amplaz unzehuelen, datt en geschitt.

Eng geännert Ausgangsadress brécht och den Applikatiounszoustand. Failover ass Erhuelung, an en als onënnerbrach Kontinuitéit ze beschreiwen, schaaft eng Erwaardung, déi den Transport net erfëlle ka.

Test een echte Feeler

Wielt een kontrolléierten Ausfall a fuert en vum Ufank bis zum Enn duerch, amplaz dem Design-Dokument ze vertrauen. Stoppt den primären Endpunkt, a bestätegt dann, datt en autoriséierte Client iwwer d’Alternativ déi virgesinn Applikatioun erreecht, während net autoriséiert Cliente weiderhi net kënnen. Notéiert wéi laang de Wiessel gedauert huet a wat d’Applikatioun gesinn huet.

dig +short vpn2.example.net
ip route get 10.20.30.41
journalctl -u openvpn@backup --since '-10 min'

Den éischte Kommando bestätegt, datt den Reservennumm sech an eppes routbar aufléist, ier Dir en braucht, an dat ass den heite billigsten Test. Den zweeten weist, wéi eng Interface de Kernel fir en privaten Zil benotze géif, wann d’Alternativ uewen ass. Den drëtten gëtt de Clientlog mat dem Numm vum Peer, mat deem tatsächlech verbonne gouf, an dat ass deen eenzegen Beweis, datt de Wiessel geschitt ass. Passt och op d’Blockéierverhalen an der Lück op, well eng Politik, déi beim Wiesselen Traffic lecke léisst, ass schlëmmer wéi eng kuerz Ënnerbriechung.

Da bréngt den Original zréck a bestätegt, ob de Client zeréckkënnt. En Zréckfall, deen duerch Zoufall geschitt, ass e Verhalen, dat keen geplangt huet.

Schreift op, wat déi zweet Adress bréngt

Fasst d’Ofdeckung an engem Abschnitt zesummen: wéi ee Feeler den zweeten Endpunkt ewech hëlt, wéi eng Feeler en mat dem éischten deelt, a wéi eng Viraussetzungen de Wiessel huet. Nennt de Mechanismus op der Clientsäit souwéi déi privat Routen an d’DNS-Verhalen, déi op béide Plaze mussen existéieren. En ëffentlechen Internetausgang ersetzt keen private Gateway, an engem Dokument, dat se als austauschbar behandelt, gëtt gegleeft. Füügt den Erhuelungstest bäi, deen Dir gemaach hutt, mam Datum an dem Resultat.

Onofhängegkeet vun engem Server ass keng Onofhängegkeet vum gedeelten Kont oder vum Zilnetz. Genau dee Paragraphe, deen dat haart seet, verhënnert, datt eng zweet Adress intern als héich Disponibilitéit verkaf gëtt. En seet och dem nächsten Operateur, wat als éischt ze préiwen ass, wann d’Paar zesummen ausfält.