Antrasis VPN galinis taškas: ką jis apima ir ko ne

Du galiniai taškai popieriuje atrodo kaip dubliavimas. Praktiškai antras adresas padeda tik tada, kai klientai gali jį pasiekti ir kai jis išvengia gedimo, kuriam ruošiatės. Du serveriai už tos pačios prieigos jungties, tos pačios paskyros ar to paties tikslinio tinklo krenta kartu. Naudingas klausimas – kurį vieną gedimą pašalina antrasis galinis taškas.

Palyginkite, ką abu galiniai taškai dalijasi

Išvardykite, kas bendra abiem galiniams taškams, prieš skaičiuodami, ką jie dubliuoja. Talpinimo vieta, teikėjo paskyra, aukštutinis tranzitas, DNS talpinimas, tapatybės šaltinis ir privatus išteklius už tunelio kiekvienas reiškia bendrą arba nepriklausomą priklausomybę. Dvi virtualios mašinos viename regione dalijasi teikėjo trikdžiu. Du regionai vienoje paskyroje vis dar dalijasi atsiskaitymo santykiais ir valdymo plokštuma, kuri juos sukuria.

Tikslinis tinklas nusipelno tokio pat požiūrio. Sveika atsarginė tarpinė programa negali atkurti NAS, kuris neprisijungęs, ir negali pasiekti biuro tinklo, kurio išvesties linija neveikia. Jei abu galiniai taškai baigiasi toje pačioje privačioje potinklyje, antrasis tik prideda kelią į paskirties vietą, kuri jau yra vienintelis gedimo taškas.

Tapatybė – tai priklausomybė, kurią žmonės pamiršta. Sertifikato ir konfigūracijos klonavimas į antrą serverį sukuria dvi vietas, kuriose tą patį prisijungimo duomenį galima nukopijuoti, ir nieko nesako apie tai, kaip atšaukimai pasiekia abu.

Nuspręskite, kaip klientas persijungia

Antrasis galinis taškas naudingas tik tada, kai klientas jį žino ir gali pasirinkti be pagalbos skambučio. OpenVPN ryšio profiliai gali turėti kelias remote eilutes su pasirinkimo politika, o dauguma klientų meniu siūlo alternatyvų profilį. Kad ir koks mechanizmas būtų, užsirašykite, kurį turi jūsų naudotojai, nes profilis, kurio jie neranda, nėra perjungimas.

Perskaitykite kliento dokumentaciją apie adreso pokyčius sesijos metu. Kai kurios implementacijos išlaiko pradinį partnerį visą tunelio gyvavimo laiką ir alternatyvas tikrina tik prisijungiant iš naujo. Šis skirtumas lemia, ar miręs galinis taškas sukels trumpą pertrauką, ar sesiją, kuri niekada neatsistatys. Išbandykite prisijungimo iš naujo kelią, o ne darykite prielaidą, kad jis įvyks.

Pasikeitęs išėjimo adresas taip pat sugriauna programos būseną. Perjungimas yra atkūrimas, o apibūdinimas kaip nenutrūkstamo tęstinumo sukuria lūkestį, kurio transportas negali įvykdyti.

Išbandykite vieną tikrą gedimą

Pasirinkite vieną kontroliuojamą trikdį ir atlikite jį nuo pradžios iki pabaigos, o ne pasikliaukite projektavimo dokumentu. Sustabdykite pagrindinį galinį tašką, tada patvirtinkite, kad įgaliotas klientas pasiekia numatytą programą per alternatyvą, o neįgalioti klientai vis dar negali. Užrašykite, kiek truko perjungimas ir ką matė programa.

dig +short vpn2.example.net
ip route get 10.20.30.41
journalctl -u openvpn@backup --since '-10 min'

Pirmoji komanda patvirtina, kad atsarginis vardas išsprendžiamas į ką nors maršrutizuojamo, prieš jums jo prireikiant, ir tai pigiausias testas čia. Antroji parodo, kurią sąsają branduolys naudotų privačiai paskirties vietai, kai alternatyva bus pakelta. Trečioji pateikia kliento žurnalą su partnerio, prie kurio iš tikrųjų prisijungta, vardu, ir tai vienintelis įrodymas, kad perjungimas įvyko. Stebėkite ir blokavimo elgseną tarpu, nes politika, kuri perjungiant praleidžia srautą, yra blogesnė už trumpą pertrauką.

Tada grąžinkite originalą ir patvirtinkite, ar klientas grįžta. Grįžimas, įvykstantis atsitiktinai, yra elgsena, kurios niekas neplanavo.

Užrašykite, ką duoda antrasis adresas

Apibendrinkite aprėptį vienoje pastraipoje: kurį gedimą pašalina antrasis galinis taškas, kuriuos gedimus jis dalijasi su pirmuoju ir kokiomis prielaidomis remiasi perjungimas. Įvardykite kliento pusės mechanizmą bei privačius maršrutus ir DNS elgseną, kurie turi egzistuoti abiejose vietose. Viešas interneto išėjimas nepakeičia privačios tarpinės programos, o dokumentas, kuris juos laiko keičiamais, bus tikimas. Pridėkite atliktą atkūrimo testą su data ir rezultatu.

Nepriklausomybė nuo vieno serverio nėra nepriklausomybė nuo bendros paskyros ar tikslinio tinklo. Būtent pastraipa, kuri tai pasako garsiai, neleidžia antrojo adreso parduoti viduje kaip aukšto prieinamumo. Ji taip pat pasako kitam operatoriui, ką patikrinti pirmiausia, kai pora krenta kartu.