VPN perjungimas: kai grįžtamasis kelias lieka sename tunelyje

Atsarginis tunelis pakyla, pagrindinis nukrenta, o programa vis tiek viršija laiko limitą. Abiejose vietose tunelio būsena atrodo sveika, ir būtent tai klaidina. Perjungimas, kuris perkelia užklausas į atsarginį, bet palieka atsakymus sename kelyje, nėra perjungimas. Toliau pateiktas vadovas tikrina grįžtamąjį kelią, o ne tik rankos paspaudimą.

Pirmiausia užrašykite maršrutus abiejuose galuose; vienos vietos vaizdas negali parodyti asimetriško kelio. Tai ir žingsnis, kuris dažniausiai praleidžiamas esant laiko spaudimui.

Prieš bandymą užrašykite abiejų vietų maršrutus

Kiekvienam apsaugotam prefiksui užrašykite pagrindinį maršrutą, atsarginį maršrutą ir pirmenybę, kuri pasirenka tarp jų. Įtraukite LAN tinklų sietuvą už kiekvieno VPN galinio taško, nes galinis taškas retai būna paskutinis šuolis.

Statinės metrikos, stebimi maršrutai ir dinaminis maršrutizavimas tinkamumą išreiškia skirtingai. Žinokite, kurią naudoja jūsų dizainas, ir ko reikia, kad alternatyva taptų aktyvi. Užrašykite sąlygą šalia maršruto, pavyzdžiui mažesnę metriką, kol patikra nepavyksta.

Darykite tai abiejose vietose. Atsarginis kelias, kuriam teikiama pirmenybė vienoje pusėje ir ignoruojamas kitoje, sukuria būtent tą asimetriją, kurios bandote išvengti.

Stebėkite užklausas ir atsakymus kiekviename etape

Naudokite nekenksmingą leistiną programą ir stebėkite tris etapus: įprastą, pagrindinio kelio gedimą ir atkūrimą. Kiekviename etape užrašykite, kuris tunelis neša užklausą, o kuris atsakymą. Pasiekiamas partnerio adresas neįrodo, kad apsaugotas programos kelias veikia. Fiksuokite abiejose vietose, kad vienkryptis srautas būtų matomas.

Jei užklausos juda, o atsakymai ne, patikrinkite tolimos vietos maršrutą į kliento prefiksą ir jo pirmenybę atsarginiam keliui. Tai maršrutizavimo sprendimas, o ne tunelio gedimas.

Po bandymo atkurkite pradinę būseną ir patvirtinkite, kad pagrindinis kelias vėl turi pirmenybę. Atkurtas pagrindinis kelias, kuriam neteikiama pirmenybė, yra nebaigtas perjungimo dizainas.

Tvarkykite sesijos būseną, kai keičiasi tinklų sietuvas

Užkardos ir NAT gali išlaikyti ryšio būseną viename tinklų sietuvo, o kelio pakeitimas į kitą sietuvą jos neperneša. Kai kurios programos persijungia pačios; kitos nepavyksta, kol sesija neatkuriama. Jei atsarginis keičia viešą šaltinį arba išverstą privatų adresą, nuotolinės prieigos taisyklės taip pat gali sureaguoti. Dokumentuokite bet kokį numatomą sesijos paleidimą iš naujo, o ne žadėkite perjungimo be pertraukų.

Išlaikykite stabilų adresavimą ten, kur programa to reikalauja. Perjungimo dizainas, kuris keičia šaltinio adresą kiekvienai sesijai, yra dizaino pasirinkimas, ir jis turėtų būti užrašytas. Šis pasirinkimas nulemia, kiek pertraukos vartotojai iš tikrųjų pastebi.

Išbandykite programą, kuri palaiko ilgą sesiją, o ne tik naują užklausą.

Atkurkite pagrindinį kelią ir patikrinkite virpėjimą

Patvirtinkite, kad maršrutų skelbimai arba pirmenybės nusistovi be svyravimų. Virpantis pagrindinis kelias gali trikdyti labiau nei aiškus gedimas, nes kiekvienas perėjimas iš naujo nustato būseną.

Išlaikykite tinklų sietuvo administravimą pasiekiamą atkūrimo keliu, kad pats bandymas neužrakintų jūsų lauke. Užrašykite etapus, stebėtus kelius ir atkūrimo laiką; būtent šis įrašas daro kitą perjungimą nuspėjamą. strongSwan pastabos apie persiuntimą naudingos, kai galiniai taškai yra Linux kompiuteriai.