Kā izveidot VPN pārslēgšanās politiku maršrutētājā bez noplūdēm

Pārslēgšanās strādāja tieši tā, kā bija konfigurēta, un tā arī bija problēma. Kad primārais tunelis nokrita, maršrutētājs pārvietoja noklusējuma maršrutu uz kabeļmodemu, klēpjdatori turpināja pārlūkot, un neviens nezvanīja. Divas dienas vēlāk kāds pamanīja, ka finanšu koplietotā mape sešas stundas bija sasniedzama pa atvērto interneta ceļu. VPN pārslēgšanās politika maršrutētājā nav maršrutēšanas triks; tas ir lēmums par to, kas trafikam jādara, kad vēlamais ceļš ir pazudis, un šim lēmumam jāpastāv pirms ceļš pazūd.

Izlemiet rezultātu pirms detektora izvēles

Parasti uz galda ir trīs rezultāti: sūtīt skartos klientus pa rezerves tuneli, ļaut tiem izmantot parasto WAN vai tos pilnībā bloķēt. Pierakstiet, kurš attiecas uz kuru VLAN, SSID vai ierīču klasi. Viens plakans “pārslēgties uz WAN” noteikums ir iemesls, kāpēc iepriekš minētā finanšu mape nonāca publiskā ceļā.

Šie trīs nav savstarpēji aizstājami. WAN rezerve tur atbalsta galdu atbildam uz tālruņiem, vienlaikus atklājot iekšējos nosaukumus vietējam risinātājam. Rezerves tunelis saglabā politiku, bet var nonākt iziešanas adresē, ko otra puse nepieņem. Bloķēšana ir pareiza algu VLAN un nepareiza viesu tīklam, kas tuneli nekad nav izmantojis.

Pielāgojiet detektoru kļūmei, no kuras jūs patiešām baidāties

Rokasspiediena stāvoklis, saskarnes stāvoklis un izmantojamā pārsūtīšana ir trīs dažādi signāli, un lietotājam svarīgs ir tikai pēdējais. WireGuard partneris var rādīt nesen notikušu rokasspiedienu, kamēr pakalpojumu sniedzēja augšupējā plūsma meta paketes melnajā caurumā. OpenVPN klients var palikt “savienots” pēc tam, kad tā virzītais maršruts pārstāja atrisināties.

pfSense praktiskais izkārtojums ir dpinger barota vārteju grupa, kas pārbauda uzraudzības adresi un atzīmē vārteju kā izslēgtu, kad zudumi vai aizture pārsniedz tās sliekšņus. Novirziet šo uzraudzību uz kaut ko aiz tuneļa, piemēram, resursdatoru tālajā LAN vai publisku adresi, kuru sasniedzat caur to. Novirzīšana uz paša tuneļa partnera adresi mēra to daļu, par kuru jūs jau zināt, ka tā ir dzīva.

Veidojiet grupu tā, lai rezerve paliktu pēdējais līdzeklis

Izmantojiet līmeņus, nevis vienu plakanu dalībnieku sarakstu. Primārais 1. līmenī, rezerves tunelis 2. līmenī, WAN 3. līmenī tikai tiem VLAN, kuru politika to atļauj. pfSense tas atrodas zem System > Routing > Gateway Groups: pievienojiet abas vārtejas, piešķiriet tām dažādus līmeņus, iestatiet Trigger Level uz member down plus packet loss, saglabājiet un pēc tam piemērojiet grupu kā saskarnes noklusējumu vai to ugunsmūra noteikumu Gateway laukā, kuriem tas nepieciešams.

OpenVPN klienta instancē pfSense 2.5 un jaunākās versijās instances Default Gateway iestatījums nosaka, vai tunelis vispār aizstāj sistēmas noklusējuma maršrutu. Politikas maršrutēšana pēc noteikuma uzvedas kā gaidīts tikai tad, kad maršruts, kuru jūs pieņemat esam, patiešām ir instalēts. Pēc izmaiņām pārbaudiet Status > Gateways, nevis paļaujoties uz tuneļa statusa ikonu.

Divi iestatījumi izraisa lielāko daļu mirgošanas. Viens ir zondes intervāls, kas ir īsāks par paša pakalpojumu sniedzēja atkārtoto konverģenci. Otrs ir grupa, kurā primārais un rezerve dala līmeni, tāpēc abi visu laiku paliek piemēroti. Pievienojiet histerēzi caur zudumu un aiztures sliekšņiem, pirms jūsu lietotāji sajūt pārejas jūsu vietā.

Aizveriet ceļus, kas tunelim nekad nav piederējuši

Vispirms DNS noplūdes. Risinātājs turpina atbildēt WAN un pārsūta no tā, tāpēc nosaukumi turpina atrisināties caur ISP, kamēr trafiks ir piesprausts pie tuneļa. Ierobežojiet risinātāja izejošās saskarnes, virziet iekšējo risinātāju klientiem un bloķējiet 53. portu visam pārējam tikai-VPN VLAN.

IPv6 nepieciešams savs lēmums. Divu steku LAN var zaudēt tuneli un saglabāt strādājošu globālo IPv6 noklusējuma maršrutu, tāpēc pārlūki dod priekšroku IPv6 un iziet caur WAN, kamēr IPv4 izskatās pilnībā ierobežots. Vai nu maršrutējiet IPv6 tunelī, vai pārtrauciet reklamēt globālo prefiksu, kamēr tunelis ir izslēgts. Puse politikas ir sliktāka par neko, jo izskatās, ka tā strādā.

Tad atgriešanās ceļš. Ja rezerves izeja izmanto citu avota adresi, otrai pusei jāzina, kā sūtīt trafiku atpakaļ, un katrs stāvoklis, kas piesaistīts vecajai adresei, jau ir miris. Sesijas, kas bija atvērtas, kad primārais nokrita, nemigrē; tās stāv, līdz tām beidzas laiks, un lietotne izlemj, ko darīt.

Pārbaudiet kritienu, mirgošanu un ceļu atpakaļ

Izvelciet primāro, kamēr darbojas nekaitīgs trafiks, pēc tam izlasiet četras lietas: Status > Gateways grupas dalībnieku stāvokļiem, pfctl -ss stāvokļiem, kas joprojām piesprausti pie vecās vārtejas, traceroute no klienta iziešanas ceļam un risinātāja vaicājumu, lai redzētu, kurš serveris atbildēja.

Tagad lieciet tam mirgot. Paceliet primāro trīsdesmit sekundes, nolaidiet trīsdesmit, divreiz. Ja trafiks seko katrai pārejai, sliekšņi ir pārāk stingri vai līmeņi ir nepareizi. Salabojiet to pēc sava grafika, jo citādi pakalpojumu sniedzējs to darīs pēc sava.

Visbeidzot pārliecinieties, ka joprojām varat administrēt maršrutētāju. Turiet ārpusjoslas ceļu, piemēram, konsoles kabeli, pārvaldības VLAN vai mobilo modemu. Pārslēgšanās tests, kas jūs izslēdz, ir tests, kuru jūs nevarat pabeigt, un nesasniedzams maršrutētājs nevar atgriezties pats.

Pirms pasludināt politiku pabeigtu, jums vajadzētu spēt atbildēt uz četriem jautājumiem, neatverot termināli: kuri VLAN drīkst izmantot WAN, kamēr tunelis ir izslēgts, ko detektors uzrauga un cik ilgi gaida, kuri nosaukumu serveri un IPv6 maršruti pārvietojas kopā ar ceļu, un kā jūs atgriežaties, ja arī rezerve neizdodas. Ja kāda atbilde ir “kas bija noklusējums”, politika joprojām pieder maršrutētājam, nevis jums.