Plaukiojantis VPN atsarginis maršrutas neperima: perjungimo kontrolinis sąrašas

Jūsų plaukiojantis VPN maršrutas sukonfigūruotas, atsarginio atstumas didesnis už pirminio, bet niekas niekada nejuda. Arba juda ir po kelių minučių grįžta atgal, kol belaidis ryšys vis dar išjungtas. Abiem atvejais maršruto tinkamumą lemia kažkas kita, o ne gedimas, kuris jums rūpi.

Atlikite šiuos tikrinimus iš eilės. Kiekvienas turi sustabdymo sąlygą, o nepavykusio patikrinimo negali išgelbėti vėlesni. Pavyzdžiuose naudojama RouterOS sintaksė, nes atstumas, šliuzo pasiekiamumas ir rekursinis kitas šuolis ten matomi konfigūracijoje, tačiau tvarka galioja bet kuriam maršrutizatoriui su stebimais statiniais maršrutais.

Įvardykite gedimą, kurį turi padengti atsarginis

„Pirminis neveikia“ yra keturi skirtingi stebėjimai. Radijas, prarandantis savo partnerį, sąsaja, prarandanti nešiklį, nuotolinis šliuzas, nustojantis atsakyti, ir programa, nustojanti veikti, iš maršrutizatoriaus vietos atrodo skirtingai. Užrašykite, kuriam iš jų skirtas sprendimas, prieš kam nors keičiant atstumo reikšmę.

Tada patikrinkite nepriklausomumą. Jei išorinis VPN transportas eina tuo pačiu belaidžiu keliu arba prieigos linija, kuri dalijasi tuo pačiu aukštutiniu srautu, atsarginis nėra antroji gedimų sritis ir bus išjungtas būtent tada, kai jo prireiks. Popieriuje ištraukite pirminį kabelį: jei paties tunelio transportas miršta kartu su juo, plaukiojantis maršrutas dengia tik konfigūracijos klaidas, o ne trikdžius.

Nustokite reikalauti, kad atstumas ką nors aptiktų

Didesnis atstumas daro maršrutą mažiau pageidaujamą. Tai ir yra visas darbas. Kol pirminis statinis maršrutas tinka, plaukiojantis maršrutas lieka neaktyvus, ir tai yra teisingas elgesys, o ne klaida. Gedimas tampa matomas tik tada, kai pirminis atšaukiamas arba pažymimas nepasiekiamu.

Statiniams maršrutams tam reikia aiškaus sekiklio:

/ip route
add dst-address=10.20.0.0/24 gateway=192.0.2.1 distance=1 check-gateway=ping
add dst-address=10.20.0.0/24 gateway=wg-backup distance=10

Perskaitykite, ką tai tikrina: kitą šuolį, o ne paskirties vietą. Radijas, kuris dar atsako savo vietinėje pusėje, bet perdavimas už jo yra sugedęs, palaiko pirminį maršrutą aktyvų. Tai tylusis atvejis, o atstumas su šliuzo patikrinimu jo nepagaus. Jei šis atvejis svarbus, aptikimas turi ateiti iš kažko, kas stebi tolimąją pusę: maršrutizavimo protokolo kaimynystė arba zondas, kurio kelią ir rezultato taisyklę apibrėžėte patys.

Atsekite, kur eina paties zondo paketai

Sveikatos zondas taip pat turi maršrutą. Kai duomenų srautas persikelia į VPN, neribotas zondas į tą patį nuotolinį adresą gali jį sekti, pavykti ir būti perskaitytas kaip įrodymas, kad pirminis atsistatė. Srautas grįžta į sugedusį kelią ir ciklas kartojasi.

Prisekite zondą prie kelio, kurį jis turi vertinti. RouterOS paprastai naudojamas maršrutas į prieglobos mazgą per pirminį šliuzą, su pakankamai maža apimtimi, kad joks kitas maršrutas negalėtų jo išspręsti, ir būtent tai kuria rekursyvaus perjungimo pavyzdys RouterOS vadove. Patvirtinkite tai gyvojoje lentelėje su aktyviu atsarginiu, o ne iš konfigūracijos komentaro:

/ip route print detail where dst-address=203.0.113.10
# gateway should still be the primary next hop

Apibrėžkite, ką reiškia zondo rezultatas, prieš pridėdami tikslus

Vienas tikslas, atmetantis ICMP arba einantis į priežiūrą, atrodo lygiai kaip kelio gedimas, o trys tikslai be taisyklės duoda tik tris nuomones. Pirmiausia nuspręskite taisyklę, tada ją įgyvendinkite: pavyzdžiui, pirminis laikomas neveikiančiu, kai du iš trijų tikslų nepavyksta per du iš eilės intervalus, įrašyta eksploatacijos vadove, kur kitas žmogus tai ras.

Nustatykite gedimo ir atkūrimo slenksčius taip, kad vienas prarastas paketas nepajudintų objekto. Histerezė kainuoja šiek tiek aptikimo laiko ir atperka stabilumą. Intervalą rinkitės pagal tai, kiek ilgai trikdis toleruojamas, o ne pagal tai, kaip greitai zondas gali veikti, ir laikykite grįžimą lėtesnį už perjungimą, kad pirminis turėtų įrodyti save, prieš atgauti srautą.

Patikrinkite grįžimo kelią ir sesijų istoriją

Perjungimas, veikiantis tik į išorę, yra pusė sprendimo. Nuotoliniam objektui reikia grįžimo maršruto į jūsų šaltinio diapazoną per VPN, kitaip grįžtamasis srautas ateina iš netikėto adreso ir atsimuša į ugniasienės būseną, kuri nebeatitinka. Esamos sesijos nutrūks net tada, kai nauji ryšiai veikia, todėl įtraukite tai į priėmimo kriterijus, o ne žadėkite perdavimo išlikimą.

Laikykite valdymo prieigą atokiau nuo testuojamo kelio. Jei vienintelis jūsų įėjimas yra per pirminį, perjungimo testas užrakina jus už įrenginio, kuris elgiasi netinkamai.

Atlikite priėmimo seką

Trys testai apima didžiąją dalį: fizinis pirminio praradimas, tylus perdavimo gedimas, kai sąsaja dar veikia, ir pirminio atkūrimas. Kiekvienam užrašykite zondo šaltinį ir kitą šuolį, aktyvų paskirties maršrutą ir naują leistiną programos mainus abiem kryptimis.

Tylusis atvejis yra tas, kuris atskiria sprendimus. Jei atsarginis ten neperima, pastatėte ryšio monitorių, o ne kelio monitorių. Nuspręskite, ar tai priimtina, ir užrašykite apribojimą ten, kur budintis inžinierius jį perskaitys. Antras prijungtas tunelis pats savaime nėra baigta atsarginė politika.