Een VPN-Konto iwwer zwee Serveren: dräi Zoustandsregëster

Een Konto, deen sech op engem vun zwee VPN-Kniet kann aloggen, werft eng Designfro op laang ier et eng Softwaresfro gëtt. D’Kontosiicht, d’Netzwierk dat all Kniet besëtzt, an d’Sessioun déi en ugeschlossene Client hält, sinn dräi verschidden Aarte vum Zoustand, a si versoen op verschidde Weis wann Dir se ronderëm kopéiert. All dräi an ee System ze kopéieren ass eng üblech Manéier, eng vun hinnen ze verléieren.

Schafft déi dräi Regëster ënnen der Rei no duerch. Jiddwereen freet, wat autoritativ ass, wat lokal ass, a wat geschitt wann deen aneren Kniet net do ass, an d’Äntwerten ergi sech net auseneen.

Wien sech kann ugeschléissen: eng Autoritéit, vill Kniet

Fänkt mam Zouloossungsregëster un: wéi eng Identitéitsquell autoritativ ass, wéi eng Zertifikatsaussteller vertraut ginn, wéi eng Konten eligibel sinn, wéi en zweeten Faktor gëllt, a wat all Konto erreeche kann. Schreift dann op, wéi all Kniet vu Ännerungen erféiert, an wéi séier.

Eng gedeelt Datebank ass eng méiglech Komponent vun där Äntwert. Si ass kee Beweis datt all relevant Politik do wunnt, oder datt all Kniet eng Ännerung am selwechte Moment uwent. E Konto, deen um Kniet A desaktivéiert awer um Kniet B nach akzeptéiert gëtt, heescht datt den Offboarding-Prozess nach net fäerdeg ass.

Entscheet, wat en Kniet mécht wann d’Autoritéit net erreechbar ass. Gecachte Umeldungsdaten während enger Stéierung ze akzeptéieren ass eng Politikentscheedung mat enger Sécherheetskäschte, an se ofzeleenen ass eng Politikentscheedung mat enger Disponibilitéitskäschte. Béides ass verdeedegbar; et ondokumentéiert ze loossen net.

Halt d’Autoritéit vum Aussteller och getrennt vun den Kontosdaten. E puer Gateways kënnen der selwechter CA vertrauen ouni hire Signatursschlëssel ze halen, an all Kniet brauch nach ëmmer säin eegene Serverzertifikat a seng eegen Vertrauensbezéiung op Client-Säit.

Wat en Kniet besëtzt: Adressen a Routen

Dat zweet Regëster ass lokal fir all Kniet: Lauschteradress, Serveridentitéit, Adresspool, Routen zu private Ressourcen, Resolverpolitik, a wéi den Trafik an den Internet erausgeet. Dee selwechte Konto kann vun engem vun den zwou Kniet zerwéiert ginn, während dës Objete getrennt bleiwen.

De Réckwee ass deen Deel, deen een vergësst. Wa béid Kniet Adressen aus dem selwechten Pool ausginn, kann dat privatt Netzwierk net soen, wéi enem Kniet ee bestëmmte Client gehéiert, an d’Äntwert kann op déi falsch Plaz geschéckt ginn. Verschidde Pools brauchen och Routen an Erlaabnesser, also ass eng getrennt Nummerberäich keen komplett Design.

Leet Clienten bewosst op ee Kniet. DNS-Auswiel, Lëschte vun de Client-Endpunkten an eng Front-End-Service sinn ënnerschiddlech Mechanismen mat ënnerschiddlechem Verhalen bei Gesondheet a Failover. Ee vun hinnen ze wielen ass gutt; „Laaschtverdeelung“ als den Design ze behandelen léisst de Réckwee an d’Fehlerverhalen ondefinéiert.

En dokumentéierte Produktbeispill hëlleft hei. D’Replikatiounsdokumentatioun vu Pritunl behandelt d’VPN-Netzwierk als Objet pro Replika, a Clienten op verschiddene Replike brauchen zousätzlech Routen a Konnektivitéit fir sech z’erreechen. Dat ass eng produktspezifesch Arrangement, keen Rezept fir Community OpenVPN, awer et weist firwat d’Bäisetze vun enger Replika d’Netzwierk ännert an net nëmmen de Kontosspäicher.

Wat eng Sessioun ass: liewege Zoustand, keng Zeil

Dat drëtt Regëster ass déi lieweg Sessioun. En ugeschlossene Client huet Protokollzoustand an eng Netzwierkzoudeelung um Kniet, deen en ugeholl huet. Datt de Konto um aneren Kniet bekannt ass, gëtt deem Kniet net d’Sessioun, d’Schlësselen oder d’Fäegkeet d’Paketen weiderzeféieren.

Sidd explizit doriwwer, wat geschitt wann en Kniet versoeet. D’ënnerstëtzt Resultat kann eng Neiverbindung mam aneren Kniet mat frëscher Authentifikatioun an enger neier Adress sinn, duerno erhëlt sech d’Applikatioun op seng Manéier. Wann eng ënnerbriechungsfräi Iwwergab erfuerdert ass, brauch dës Ufuerderung eng explizit Ëmsetzungsënnerstëtzung, net eng Ofleedung aus der Datebankreplikatioun. Schreift d’Äntwert do op, wou den déngschthabenden Ingenieur se fënnt.

Kapazitéitsregele brauchen déi selwecht Behandlung. Eng Limit vun zwou gläichzäitege Sessiounen pro Konto kann nëmmen iwwer Kniet erzwong ginn, wann eng Autoritéit eng koordinéiert Vue op déi besate Plazen huet. Knietlokal Lëschten an en historesche Kontoopreechnung addéiere sech net zu där Vue.

Déi dräi Regëster ausprobéieren

Übt jiddwereen eenzel. Loggt Iech iwwer de Kniet A an, dann iwwer de Kniet B, a bestätegt datt béides mat dee erwaarten Adressberäicher geléngt. Zitt eng Identitéit zréck a kontrolléiert béid Kniet, net nëmmen deen Dir zoufälleg getest hutt. Stoppt dann ee Kniet a beobacht, wat de Client an d’privatt Applikatioun tatsächlech maachen.

Huelt de Réckwee an den Akzeptanztest op. E Client, deen sech mam B verbënnt awer keng Äntwerten vun enger Ressource hannert A ka kréien, huet d’Zouloossungspréifung bestanen an déi vum Netzwierk versot, an deen Ënnerscheed soll am Rapport optauchen.

Den Design vun engem Konto fir méi Kniet ass nëmmen dann komplett, wann all dräi Regëster en expliziten Eegentemer, e Ännerungswee an e Fehlerverhalen hunn. Eng Konfiguratiounsdatei iwwer Kniet ze kopéieren beäntwert keng vun dëse Froen.