Divi IPsec vārtejas bez kopīgas IP: ko patiesībā dara pārslēgšanās kļūmes gadījumā

Izslēdziet vārteju A sanāksmes laikā un vērojiet, kā pēc minūtes tunelis atgriežas caur B; savienojums darbojas, videozvans varbūt ne. Tā ir godīgā aukstās pārslēgšanās forma starp divām IPsec vārtējām ar neatkarīgām adresēm. Klients no jauna izvēlas galapunktu un veido jaunu attiecību, kas atjauno sasniedzamību, nepārnesot vecās sesijas kriptogrāfisko stāvokli. Secības izsekošana skaidri parāda, kādus solījumus dizains var turēt.

Uzstādiet ainu: divas adreses, nekāda peldoša IP

Vārteja A atbild uz vienas sasniedzamas adreses, bet vārteja B uz citas. Klientam ir apstiprināts veids, kā izvēlēties B, kad A ir pazudusi, un nav kopīgas ārējās adreses, ko pieprasītu abas vārtejas. Šajā dizainā virtuālā IP nozīmē tieši šo kopīgo ieejas punktu, nevis iekšējo adresi, kas piešķirta attālinātās piekļuves klientam.

Šī definīcija ir svarīga, jo abas idejas tiek sajauktas biļetenos, un vienas labojums nav otras labojums. Ziņojums, ka kopīgā ieeja nav sekojusi vārtejai, apraksta vienu dizainu. Ziņojums, ka klēpjdators zaudēja iekšējo adresi, apraksta klienta nomu. Dažādi īpašnieki, dažādi žurnāli, dažādi remonti.

Izstaigājiet kļūmi: atklājiet, tad izvēlieties no jauna

Vispirms kaut kas pamana, ka A pārstāja atbildēt. Tas var būt miruša partnera noteikšana tuneļa slānī, maršrutēšanas protokols, kas atsauc ceļu, vai lietotnes taimauts, kas beidzot piespiež atkārtoti pievienoties. Katram ir cita laika skala, un lēnākais parasti nosaka, cik ilgi lietotāji gaida.

Pēc tam klients izvēlas B ar jebkuru izvietošanas atbalstītu mehānismu: otru konfigurētu attālināto punktu, DNS vārdu, kas atrisināts uz veselīgu adresi, vai maršrutēšanu, kas tagad dod priekšroku citam ceļam. Izvēle ir politikas solis, un tai jāpastāv pirms kļūmes, citādi tā notiks nejauši.

Ko B var un ko nevar mantot

B var dalīties ar A konfigurācijas veidnē, sertifikātu iestādē un autentifikācijas politikā. Tas nevar mantot dzīvās drošības asociācijas. Sesijas atslēgas, drošības parametru indeksi un secības stāvoklis pieder attiecībām, ko izveidoja A un klients, un B nav neviena no tiem.

Šī stāvokļa pārvietošana starp vārtējām ir īsta inženierijas problēma, tāpēc strongSwan augstas pieejamības dokumentācija to uzskata par klastera dizainu, nevis konfigurācijas karodziņu. Konkrēta klastera recepte nav vispārīga atbilde mākoņa tīklam, un tās kopēšana bez atbalstošās infrastruktūras pērk sarežģītību nevis nepārtrauktību.

Jaunu attiecību izveide

Kad B ir izvēlēta, klients veic jaunu IKE apmaiņu: jaunas nonce vērtības, jaunas Diffie-Hellman vērtības, jaunus identifikatorus iegūtajām asociācijām. Autentifikācija atkal notiek pie B. Ja dizains balstās uz mašīnas akreditācijas datiem, atkārtota pievienošanās var būt bez uzraudzības; ja nepieciešams cilvēciskais faktors, kādam jābūt klāt, lai pārslēgšanās pabeigtos.

Definējiet šo lietotāja pieredzi pirms pārtraukuma, nevis tā laikā. Skaidri sakiet, ko klients darīs, cik ilgi mēģinās un ko parādīs, kad padodas, jo atšķirība starp minūti atkārtotas pievienošanās un atbalsta zvanu parasti ir dokumentācija un pārbaudīts profils.

Tās pašas iekšējās adreses saglabāšana palīdz lietotnēm, kas sagaida stabilu vietējo identitāti, un tā nesaglabā viņu sesijas. NAT saistījumi beidzas, TCP savienojumi tiek atiestatīti, un jebkas ar savu taimautu patstāvīgi izlemj, vai mēģināt vēlreiz.

Divi tuneļi paralēli ir cits dizains

Abu tuneļu darbināšana vienlaikus ir derīgs modelis, ja to atbalsta abas vārtējas un maršrutēšanas dizains. Tad maršruta izvēle izvēlas aktīvo ceļu, un atgriešanās ceļam jāsakrīt, citādi satiksme iziet pa vienu vārtēju un atgriežas pa otru bez stāvokļa, kas to sasaistītu.

Pārklājošās tuneļu politikas pašas par sevi nerada sakārtotu pārslēgšanos. Tās rada divus kandidātus, un kaut kam starp tiem jāizlemj deterministiski: vai nu maršruta metrika, politikas prioritāte, vai skaidra priekšroka klientā.

Lai kādu formu izvēlētos, pierakstiet līgumu: kā tiek atklāta kļūme, kā tiek izvēlēta alternatīva, kāda autentifikācija tai nepieciešama un cik ilgi atkārtota pievienošanās ir paredzēta. Kopīga IP var vienkāršot atklāšanu, bet tā nav nepārtraukta stāvokļa sinonīms, un pieejamība jebkurā gadījumā ir dizains.