Dräi Aarte vun OpenVPN-Failover op pfSense, dräi Mechanismen

„OpenVPN failover“ op pfSense ëmfaasst op d'mannst dräi onofhängeg Konzepter, an all een brauch en anere Mechanismus. En Tunnel lieweg halen iwwer eng Reserve-Internetsverbindung, sech op en anere Server nei verbannen an de LAN-Trafic an en aneren, schonn etabléierten Tunnel ëmleeden sinn net Variante vun enger Funktioun. Wielt de Fehler, géint deen Dir Iech verdeedegt, ier Dir eng Gateway-Grupp baut. Eng Grupp, déi een dovun reparéiert, mécht näischt fir déi aner zwee.

Nennt de Fehler, ier Dir eng Grupp baut

Schreift de Saz, deen Dir wärend enger Ënnerbriechung wier wëllt. „Den Tunnel verbënnt sech nei iwwer de Reserve-WAN“ an „den Niewesëtz erreecht nach ëmmer d'Applikatioun iwwer den aneren Tunnel“ sinn ënnerschiddlech Sätz. Nëmmen den éischten ass iwwer den Transport.

Dann passt en un e Mechanismus un. De Verloscht vum lokalen WAN ass e Problem vun der Interface-Wiel, en doudegen wäite Endpunkt ass e Problem vun der Verbindungslëscht, an en onbrauchbaren Wee bannent engem etabléierten Tunnel ass e Problem vun der Routing a Politik.

Lokalen WAN: de Transport verréckelen

Fir e pfSense OpenVPN-Client wielt déi ënnerstëtzt Multi-WAN-Arrangement eng passend Gateway-Grupp als de Interface, un dee sech de Client bënnt. Dat ass wat d'äussere Verbindung iwwer de Reserve-Link fortgoe léisst, wann de primären ausfällt. Fir sech selwer ännert et net, wéi den bannenzegen Trafic gerout gëtt.

D'Server-Säit vum selwechte Konzept ass getrennt. En OpenVPN-Server, deen iwwer verschidde ëffentlech Adressen erreechbar soll sinn, brauch e Lauschterer an eng Eingangspolitik fir all déi Aschreiwungen, net nëmmen e Client deen iwwer zwee Linken diale kann. Eng funktionéierend ëffentlech Aschreiwung ass kee Beweis, datt déi zweet konfiguréiert ass.

Eng politikbaséiert Routing-Reegel fir weidergereechte LAN-Pakete ass net d'Astellung, déi eng lokal erstallte VPN-Transportverbindung verréckelt. Dat sinn zwou verschidde Sich, an eng änneren ännert déi aner net.

Wäiten Endpunkt: en anere Server

En alternativen remote ass eng Funktioun vun der Verbindungslëscht. De Client probéiert déi nächst Aschreiwung, wann déi aktuell net äntwert, wat nëtzlech ass wann en bestëmmten Host ënnen ass an net wann ären eegenen Upstream et ass. Déi zwee Fehler gesinn aus dem Aarbechtszëmmer vun engem Benotzer ähnlech aus an brauchen ënnerschiddlech Korrekturen.

All Kandidat muss en echte Substitut sinn: kompatibel Authentifikatioun, kompatibel Client-Politik an Zougang zu deene selwechte private Ressourcen. En zweeten Hostnumm, deen op déi selwecht futti Infrastruktur opgeléist gëtt, ass keng Reserve. En Server ouni déi noutwendeg Route ass et och net, esou gesond wéi säin Handshake och ausgesäit.

Dëse Mechanismus mécht och net, datt zwee Tunnele gläichzäiteg weiderleeën. En ersetzt déi eng Verbindung duerch déi aner, sequenziell, an de Spalt tëschent hinnen ass fir alles sichtbar wat gelaf ass.

Tunnelwee: wielt en aneren Ausgang

Wann zwee Tunnele schonn stinn an den Trafic dee gesünderen notze soll, ass de Mechanismus en zougewisenen VPN-Interface mat senger eegener Gateway, plus eng ausdrécklech Politik-Reegel déi den richtegen Trafic dohinner schéckt. Eng Gateway-Grupp iwwer déi zougewisen Interfaces kann Prioritéit an Iwwerwaachung ausdrécken.

Dat Konzept ass iwwer Auswiel, net iwwer Erhuelung. Nei Verbindungen op den zweeten Tunnel verréckelen seet näischt iwwer Sessiounen déi schonn um éischten etabléiert sinn, an näischt doriwwer ob déi wäit Säit déi nei Quelladress akzeptéiert. Et als Erhuelungsmechanismus ze behandelen ass de Wee fir Erwaardungen ze héich ze setzen.

Wann d'Ufuerderung ass, datt déi bestoend Sessiounen iwwerliewen, sot dat ausdrécklech. Déi meescht Implementéierungen migréieren keen liewege Flux tëschent Tunnele, an esou ze designen wéi wa se et géifen, gëtt e Failover, deen op engem Diagramm richteg ausgesäit an an der Praxis all oppe Verbindung fale léisst.

Monitoren, NAT an d'fail-closed-Reegel

En Monitor soll eppes testen, wat den Tunnel soll liwweren. En Zil, deen aus dem Tunnelpartner äntwert awer net aus dem Applikatiounsnetz dohannert, wäert gesond mellen, während d'Benotzer näischt gesinn. En onerreechbaart Diagnostikszil wäert doud mellen, während de Wee gutt ass. Wielt d'Adress bewosst an bestätegt, datt se nëmmen duerch den ugeduechten Tunnel erreechbar ass.

Kontrolléiert den ausgänglechen NAT fir béid Ausgäng. Eng funktionéierend Iwwersetzung um primären beschreift net d'Quelladress vun der Reserve, an dat wäit privat Netz brauch eng Réckwee déi zu der Quell passt déi Dir presentéiert. Eng Iwwersetzung déi um eenen Wee richteg ass, kann um aneren stëll falsch sinn.

Dann entscheet, wat mam Trafic geschitt deen niemools de WAN däerf notzen. pfSense huet definéiert Verhalen fir Reegelen, deenen hir gewielten Gateway ënnen ass, an eng méi spéit breet Erlaabnes-Reegel oder eng Standardroute kënnen Är Absicht zerstéieren. Schreift d'blockéiert Resultat als Ufuerderung op an iwwerpréift et andeems Dir de Wee ofhëlt.

Test Verloscht an Erhuelung getrennt, mam Trafic deen Dir däerft generéieren, a beobachtet dräi Saachen zur selwechter Zäit: den WAN deen d'äusser Verbindung dréit, den Tunnel deen d'Applikatiounsufro dréit an de Wee deen d'Äntwert hëlt. E Paar gréng Gateway-Indikatoren ass net eng vun deenen dräi. Dem Netgate säi Multi-WAN-Guide beschreift d'Transportbannung an déi exportéiert Client-Alternativen op déi dëst sech stäipt.