Zweet WAN-VPN-Andro fällt aus, wärend déi primär weider schafft

Den primären Tunnel bleift uewen, d'Benotzer schaffe weider, an den zweete ISP-Circuit sëtzt broochlos, egal wat Dir ännert. Dir hutt eng Adress fir de Backupscircuit publizéiert, en Numm drop geriicht, vläicht en Backup-Andro am Client dobäigesat, an de Client probéiert en entweder ni oder authentifizéiert sech an stierft duerno. An de Fäll, déi ech nogefuert hunn, war d'Failover-Funktioun meeschtens an der Rei; wat gefeelt huet, war eng vun de fënnef Saachen, déi en Andro notzbar maachen. En Numm kann op d'Backupsadress opgeléist ginn, wärend op där Interface näischt lauschtert, an en Nolauschterer kann eng Verbindung unhuelen, wärend d'Äntwert iwwer déi primär erausgeet. Behandelt all WAN als en eegenen Andro mat sengem eegene Kontrakt an de Feeler gesäit net méi wéi e Client-Bug aus.

All WAN brauch säin eegene Kontrakt vum Andro

Notéiert fënnef Felder pro WAN: den ëffentlechen Numm an d'Adress, den Transport an de Port, den Interface oder Kontext, deen en ofschléisst, d'Peer-Identitéit, déi en presentéiere soll, an vu wou d'Äntwert erausgeet. Zwee Circuits bedeite zwee komplett Sätz. Wann den zweete Saz keen ofschléissenden Interface oder kee Retourwee huet, hutt Dir keen Backup-Andro; Dir hutt en DNS-Record, deen eng Absicht beschreift.

D'Apparat an seng Versioun mussen dës Opstellung och ënnerstëtzen. En DNS-Record kann keen Déngscht op engem aneren Interface opmaachen, an op ville Plattformen gëtt den Nolauschterer pro Adress an net pro Apparat konfiguréiert. Interface-baséierten IPsec op enger ASA bënnt Kryptomappen an Tunnelgruppen un den äusseren Interface, dofir brauch den zweeten Uplink eng Politick do, wou déi Pakete wierklech ukommen. Routenbaséiert Designe verhalen sech anescht: den Nolauschterer kann un all Adress oder un eng genannt Adress bannen, an déi Wiel entscheet, ob ISP B iwwerhaapt äntwere kann.

Iwwerpréift, ob den zweeten WAN wierklech äntwert

Test vun dobaussen un béide Circuits, net vun enger Maschinn hannert dem Gateway, an test de genauen Numm, deen de Clientprofil benotzt. Fir en TLS-Nolauschterer ass déi séier Kontroll openssl s_client -connect ADDRESS:443 -servername vpn.example.com -showcerts vun engem Host ausserhalb vun Ärem Netz ausgefouert. Dir wëllt en ofgeschlossenen Handshake, deem seng Kette zum Numm am Profil passt, net just en TCP-Port, deen eng Verbindung unhëlt.

RFC 9525 erkläert, wat de Client iwwerpréift: d'Identitéit, déi en erreeche wollt, verglach mam Zertifikat, deen den Déngscht presentéiert. En zweeten Andro, deen d'Zertifikat vum primären Andro zréckgëtt, oder en Standardzertifikat, deen keen vun den Nimm oplëscht, fällt dësen Test, och wann de Port op ass an d'Firewall en erlaabt.

Zwee Muster erklären déi meescht Feeler hei. Eng Verbindung, déi hänkt, bedeit meeschtens keen Nolauschterer op deem Interface, eng Zougangsregel, déi nëmmen déi primär Subnetzer erlaabt, oder en Apparat vum Provider virum zweete Circuit, deen de Port fale léisst. En Handshake, deen mat der falscher Identitéit ophält, bedeit meeschtens en aneren Trustpoint, en Standard-virtuellen Host oder eng Konfiguratioun, déi vun der primärer kopéiert gouf, ouni d'Identitéit unzepassen.

Verfollegt d'Äntwert, net just d'Ufro

Den zweeten WAN geet meeschtens um Retourwee futti. Eng Ufro kënnt iwwer ISP B, den Apparat äntwert, an d'Äntwert geet iwwer d'Standardroute op ISP A eraus mat enger Quelladress, déi de Client ni gefrot huet. Stateful Iwwersetzung mécht et méi schlëmm: wann d'Mapping fir den primären Interface gebaut gouf, verpasst de Pak deen zréckkënnt d'Iwwersetzung oder dréit eng Quell, déi d'Firewall vum Client ewechgeheit. Provideren heien och Quelladressen ewech, déi net zum Circuit gehéieren, deen se Iech ginn hunn, dofir gesäit dat wéi en eenrichtung Schwaarzt Lach aus an net wéi e propperen Protokollfeeler.

Iwwerpréift d'Routenentscheedung fir Trafick, deen aus dem zweeten Andro kënnt. D'Äntwert soll deen Interface verloossen, op deem d'Ufro ukomm ass, oder op d'mannst eng Adress droen, déi déi wäit Säit als zu deem Wee gehéierend akzeptéiert. Op Plattforme mat Politik-Routing heescht dat eng Regel, déi un den erakommenden Interface oder un d'iwwersat Quell gebonnen ass, plus eng Iwwersetzungsausso, déi un all äusseren Interface gebonnen ass. Huet gläichzäiteg op béiden Interfaces op, wärend de Client sech verbënnt; en SYN, deen op ISP B ukommt, mam SYN-ACK, deen op ISP A erausgeet, entscheet d'Fro an engem Laf.

Gitt dem Client eng Manéier, vum zweeten Andro ze léieren

Failover ass eng Entscheedung op der Clientsäit, an all Clientfamill léiert Alternativen anescht. Op enger ASA gëtt d'Backup-Server-Lëscht iwwer d'webvpn-Attributer vun der Gruppepolitick geliwwert, wärend aner Clienten eng Lëscht am Profil oder en manuellen zweeten Profil erwaarden, deen de Benotzer wielt. Dem Cisco säi Guide fir Verbindungspolitick beschreift souwuel am Client konfiguréiert wéi och vum Gateway geliwwert Backup-Informatioun, an déi protokollspezifesch Detailer sollen net op all Client oder Tunnelmodus generaliséiert ginn. Bestätegt, wéi e Mechanismus de deployéierte Client ëmsetzt, ier Dir den zweeten Andro ronderëm de falschen baut.

Wéi ee Mechanismus och ëmmer, de Client muss den alternativen Numm opléise kënnen, ier en de primäre Wee verléiert. Genau déi Ofhängegkeet gëtt dacks vergiess: wann den Backupnumm vun engem Resolver beäntwert gëtt, deen nëmmen iwwer den Tunnel erreechbar ass, deen just ausgefall ass, kann de Fallback guer net ufänken. Publizéiert den zweeten Numm an engem Resolver, deen lokal oder iwwer den Internet äntwert. Erwaart eng nei Authentifikatioun an eng nei Applikatiounssessioun no der Beweegung, well de Client-Failover keen zoustännegen Failover ass an laang Sessiounen en net iwwerliewen.

Eng Adress op zwee Provideren ass en anert Produkt

Eng eenzeg ëffentlech Adress iwwer béid Circuits erreechbar ze halen ass en Routing-Déngscht, keng Këscht am VPN. En brauch Adressraum, deen béid Provideren bereet sinn ze droen, annoncéiert esou, datt hir Netzer en akzeptéieren, an dat gëtt duerch Multihoming mat provideronofhängegem Raum a BGP geliwwert. Dem ISP A seng Adress op den Interface vum ISP B ze setzen, bréngt een net dohin; de Pak kënnt an en Netz, dat de Prefix ni annoncéiert huet, an gëtt uewe fortgeheit.

Dir braucht näischt dovun, fir zwee Androe ze publizéieren. Wann de Client zwee Nimm halen an tëschent hinnen ausfale kann, duergen zwou onofhängeg Androen, an Dir vermeit eng AS-Nummer, eng Peering-Vereinbarung an e Prefix, deen iwwerall akzeptéiert muss ginn. Betruecht d'Optioun vun der portable Adress just dann, wann Dir wierklech ee stabile Punkt braucht, deen d'Cliente kënnen net ëmkonfiguréieren, oder wann DNS-baséierte Failover mat senger TTL-Verzögerung ze lues fir den Ausfall ass, géint deen Dir designe.

Wat duerno ze préiwen

Schafft vum feelerhaften Andro no baussen an dëser Rei: äntwert déi zweet Adress vun dobaussen, presentéiert se d'Identitéit, déi de Client erwaart, geet d'Äntwert de Wee eraus, op deem d'Ufro ukomm ass, a kann de Client den Numm léieren, ier en en brauch. Wou d'Äntwert nee ass, reparéiert déi Schicht a test nach eng Kéier mam deployéierte Profil an net mat engem Testhost, well en Handshake aus dem Laboratoire manner beweist wéi eng ofgeschlossen Verbindung vum richtege Client.

Halt eng kuerz Opzeechnung pro WAN, mat Adress, Port, ofschléissendem Interface, Zertifikatsnumm, Retourwee an Iwwersetzungsregel, a préift se nach eng Kéier, wann e Circuit, en NAT-Apparat oder eng Client-Versioun sech ännert. Broochlos Backup-Weer ginn am Stille futti: näischt warnt virum Andro, deen een net benotzt, bis den Dag, wou all dovun ofhänken.