Zwee aktiv IPsec-Tunnelen brauchen nach ëmmer e Plang fir den Ëmwee

Maacht eng Terminal op enger Workstation op engem Site op a verbënnt mat engem Server op deem aneren. Dës eenzeg TCP-Konversatioun muss elo véier Gateways iwwerqueren amplaz vun zwou, an deen interessante Deel ass net, ob et op engem gudden Dag funktionnéiert. Den interessanten Deel ass, wéi eng Pair Gateways d'Richtung vir gewielt huet, wéi eng Pair d'Äntwert wielt, a wien den Zoustand vum Flux hält, wärend dat geschitt. Näischt an der Routingstabell decidéiert dat fir Iech.

Zeechent véier Gateways, ier Dir eng Route zeechent

En duebel-aktiven Design mat zwou onofhängege VPN-Firewallen pro Site, eng Pair pro Provider, gëtt Iech zwee notzbar Weeër an dräi Manéieren, se ze briechen. Schreift d'Adressen op, ier Dir eppes konfiguréiert: de Client wéi en virun an no all Gateway ze gesinn ass, de Server grad esou, den nächsten Hop vir an den nächsten Hop zréck.

Déi Tabell ass den Design. Alles duerno ass eng Fro, ob d'Apparater mat der Tabell averstane sinn.

Wéi de Wee vir gewielt gëtt

Eng Multipath-Routing-Schicht mat gläiche Käschten verdeelt Flëss op déi nächst Hops duerch Hashing vu Header-Felder, wat RFC 2992 am Detail beschreift. Déi Auswiel kann komplett zoustänneslos sinn: se brauch keen Entrée fir Verbindungsverfolgung, just en stabile Hash iwwer onverännert Felder. Halt de Weeset an d'Hash-Inputen konstant, an all Paket vum Flux wielt dee selwechten nächsten Hop.

D'Auswiel pro Flux vermeit d'Ëmuerdnung, déi d'Balance pro Paket iwwer Verbindungen mat ënnerschiddlechen Delaien géif verursaachen. Et versprécht net, datt gläich Routing-Käschten gläich gemooss Delai bedeiten, well dat ass net esou. A wann d'Zesummesetzung vun de Weeër sech ännert, ginn d'Flëss nei gemappt, dofir ass d'Iwwerliewe vun der Verbindung bei engem Ausfall eng eege Fuerderung vun der Wee-Auswiel.

Wat den Ëmwee wierklech brauch

Hei hält de Spazéiergang op, symmetresch ze sinn. En stabile Hash no vir seet Iech näischt doriwwer, wat de wäiten Site mat der Äntwert wäert maachen. Wann eng onofhängeg Firewall zwou Richtunge vun der Verbindung muss gesinn, fir notzbaren Zoustand ze halen, léisst eng Zréckroute, déi se ëmgeet, Traffic zeréck, deen zu näischt passt. Zwou Këschten mat ähnlechen Reegelsätz sinn keen gedeelten Zoustand.

Bestätegt dat implementéiert bidirektionalt Verhalen, oder schreift eng explizit Politik, déi déi erfuerderlech Grenzen kohärent hält. Eng Vermutung hei gëtt wärend engem Ausfall entdeckt, vu Leit, déi et net genéissen.

Wou d'Iwwersetzung fir Iech decidéiert

NAT ass deen anere Lever, an en ass optional an net obligatoresch. Wee-spezifesch iwwersat Identitéite kënnen Äntwerten zréck op de Gateway leeden, deen den Zoustand hält, wat en legitime Design ass. Si füügen awer Mappings, Zréckrouten an een Eegentümer fir deen Zoustand derbäi, also akzeptéiert d'Laascht nëmme fir eng Fuerderung, déi Dir haart ka soen.

Wann d'Fuerderung einfach ass, datt béid Weeër Traffic droen an ee vun deenen en Ausfall vun engem Provider iwwerlieft, ass gewéinlech Multipath pro Flux mat kohärentem Zréck-Routing den méi klengen Design.

Gitt d'Akzeptanz an der Rei duerch

Test an dëser Rei an notéiert d'Adressen op all Schrëtt: eng nei Verbindung um Wee A an hire Äntwertwee, déiselwecht um Wee B, duerno den Ausfall vun engem Provider, duerno d'Restauration. Fir all Resultat, notéiert wéi eng etabléiert Flëss sech beweegt hunn, wéi eng hu mussten nei verbannen, a wou nei Flëss duerno higaange sinn. Schreift dee erwaarten Wäert fir d'éischt op an vergläicht en dann mat der Opnam. Zwee etabléiert Tunnelen beweise näischt dovun.

Den Design ass fäerdeg, wann d'Tabell, déi Dir geschriwwen hutt, mat deem iwwereneest, wat d'Opnam weist, net wann béid Tunnelen u sinn.