Otrais WAN VPN ieraksts nedarbojas, bet primārais turpina strādāt

Primārais tunelis paliek augšā, lietotāji turpina strādāt, un otrais ISP kanāls stāv dīkā, lai ko jūs mainītu. Jūs publicējāt rezerves kanāla adresi, norādījāt uz to vārdu, varbūt pievienojāt rezerves ierakstu klientam, un klients to vai nu nekad neizmēģina, vai arī autentificējas un pēc tam nomirst. Manis pētītajos gadījumos failover funkcija parasti bija kārtībā; trūka viena no piecām lietām, kas padara ierakstu lietojamu. Vārds var atrisināties uz rezerves adresi, kamēr tajā saskarnē nekas neklausās, un klausītājs var pieņemt savienojumu, kamēr atbilde iziet caur primāro. Uztveriet katru WAN kā atsevišķu ierakstu ar savu līgumu, un kļūme pārstās izskatīties kā klienta kļūda.

Katram WAN vajag savu ieraksta līgumu

Pierakstiet piecus laukus katram WAN: publisko vārdu un adresi, transportu un portu, saskarni vai kontekstu, kas to pabeidz, partnera identitāti, kas jāuzrāda, un kur atbilde iziet. Divi kanāli nozīmē divus pilnus komplektus. Ja otrajam komplektam nav pabeidzošas saskarnes vai atgriešanās ceļa, jums nav rezerves ieraksta; jums ir DNS ieraksts, kas apraksta nodomu.

Ierīcei un tās versijai arī jāatbalsta šāds izkārtojums. DNS ieraksts nevar atvērt pakalpojumu citā saskarnē, un daudzās platformās klausītājs tiek konfigurēts pēc adreses, nevis pēc ierīces. Uz saskarni balstīts IPsec ASA ierīcē saista šifrēšanas kartes un tuneļu grupas ar ārējo saskarni, tāpēc otrajai augšupielādei vajadzīga politika tur, kur šie paketes patiešām ierodas. Uz maršrutiem balstīti risinājumi uzvedas citādi: klausītājs var piesaistīties katrai adresei vai vienai nosauktai adresei, un šī izvēle nosaka, vai ISP B vispār var atbildēt.

Pārbaudiet, vai otrais WAN tiešām atbild

Testējiet no abu kanālu ārpuses, nevis no mašīnas aiz vārtejas, un testējiet tieši to vārdu, ko izmanto klienta profils. TLS klausītājam ātrā pārbaude ir openssl s_client -connect ADDRESS:443 -servername vpn.example.com -showcerts , palaista no resursdatora ārpus jūsu tīkla. Jums vajadzīga pabeigta rokasspiediena procedūra, kuras ķēde atbilst vārdam profilā, nevis tikai TCP ports, kas pieņem savienojumu.

RFC 9525 izskaidro, ko klients pārbauda: identitāti, kuru tas grasījās sasniegt, salīdzinātu ar sertifikātu, ko uzrāda pakalpojums. Otrais ieraksts, kas atgriež primārā ieraksta sertifikātu, vai noklusējuma sertifikāts, kurā nav norādīts neviens no vārdiem, šo testu neiztur, lai gan ports ir atvērts un ugunsmūris to atļauj.

Divi modeļi izskaidro lielāko daļu kļūmju šeit. Karājošs savienojums parasti nozīmē, ka tajā saskarnē nav klausītāja, piekļuves noteikums atļauj tikai primāros apakštīklus, vai operatora ierīce otrā kanāla priekšā nomet portu. Rokasspiediens, kas beidzas ar nepareizu identitāti, parasti nozīmē citu trustpoint, noklusējuma virtuālo resursdatoru vai konfigurāciju, kas nokopēta no primārā, nepielāgojot identitāti.

Sekojiet atbildei, ne tikai pieprasījumam

Otrais WAN parasti lūzt atgriešanās ceļā. Pieprasījums ienāk pa ISP B, ierīce atbild, un atbilde iziet pa noklusējuma maršrutu uz ISP A ar avota adresi, kuru klients nekad nav prasījis. Stāvokļa tulkošana to padara sliktāku: ja kartējums tika būvēts primārajai saskarnei, atgriežošā pakete netrāpa tulkojumā vai nes avotu, ko klienta ugunsmūris izmet. Pakalpojumu sniedzēji arī izmet avota adreses, kas nepieder viņu dotajam kanālam, tāpēc tas izskatās kā vienvirziena melnais caurums, nevis tīra protokola kļūda.

Pārbaudiet maršrutēšanas lēmumu trafikam, kura avots ir otrais ieraksts. Atbildei jāiziet pa saskarni, pa kuru ienāca pieprasījums, vai vismaz jānes adrese, ko tālā puse pieņem kā piederīgu šim ceļam. Uz politiku balstītās maršrutēšanas platformās tas nozīmē noteikumu, kas piesaistīts ienākošajai saskarnei vai tulkotajam avotam, plus tulkošanas paziņojumu, kas piesaistīts katrai ārējai saskarnei. Ierakstiet vienlaikus abās saskarnēs, kamēr klients savienojas; SYN, kas ierodas uz ISP B, un SYN-ACK, kas iziet uz ISP A, izšķir jautājumu vienā piegājienā.

Dodiet klientam veidu, kā uzzināt par otro ierakstu

Failover ir klienta puses lēmums, un katra klientu saime par alternatīvām uzzina citādi. ASA rezerves serveru saraksts tiek piegādāts caur grupas politikas webvpn atribūtiem, kamēr citi klienti gaida sarakstu profilā vai manuālu otru profilu, ko izvēlas lietotājs. Cisco savienojuma politikas rokasgrāmata apraksta gan klientā konfigurēto, gan vārtejas nodrošināto rezerves informāciju, un šīs protokolam raksturīgās detaļas nevajadzētu vispārināt uz visiem klientiem vai tuneļa režīmiem. Apstipriniet, kādu mehānismu ievieš izvietotais klients, pirms būvējat otro ierakstu ap nepareizo.

Lai kāds būtu mehānisms, klientam jāspēj atrisināt alternatīvo vārdu, pirms tas zaudē primāro ceļu. Tieši šo atkarību cilvēki palaiž garām: ja rezerves vārdu atbild risinātājs, kas sasniedzams tikai caur tikko sabrukušo tuneli, rezerves variants pat nevar sākties. Publicējiet otro vārdu risinātājā, kas atbild lokāli vai caur internetu. Pēc pārejas gaidiet jaunu autentifikāciju un jaunu lietojumprogrammas sesiju, jo klienta failover nav stāvokļa failover un ilgas sesijas to nepārdzīvo.

Viena adrese pie diviem pakalpojumu sniedzējiem ir cits produkts

Vienas publiskās adreses sasniedzamības uzturēšana pa abiem kanāliem ir maršrutēšanas pakalpojums, nevis atzīmēšanas rūtiņa VPN. Tam vajadzīga adrešu telpa, ko abi sniedzēji ir gatavi pārnest, paziņota tā, lai viņu tīkli to pieņemtu, un to nodrošina daudzmāju savienojums ar no sniedzēja neatkarīgu telpu un BGP. ISP A adreses piešķiršana ISP B saskarnei tur neaizved; pakete nonāk tīklā, kas nekad nav paziņojis prefiksu, un tiek izmesta augšpusē.

Neviens no tā nav vajadzīgs, lai publicētu divus ierakstus. Ja klients var turēt divus vārdus un pārslēgties starp tiem, pietiek ar diviem neatkarīgiem ierakstiem, un jūs izvairāties no AS numura, peering vienošanās un prefiksa, kas jāpieņem visur. Pārvietojamās adreses iespēju apsveriet tikai tad, kad jums patiešām vajadzīgs viens stabils ieejas punkts, ko klientus nevar pārkonfigurēt aizstāt, vai kad DNS balstīts failover ar tā TTL aizturi ir pārāk lēns pārtraukumam, pret kuru projektējat.

Ko pārbaudīt tālāk

Strādājiet no bojātā ieraksta uz āru šādā secībā: vai otrā adrese atbild no ārpuses, vai tā uzrāda identitāti, ko klients gaida, vai atbilde iziet pa ceļu, pa kuru ienāca pieprasījums, un vai klients var uzzināt vārdu, pirms tas tam vajadzīgs. Kur atbilde ir nē, salabojiet šo slāni un testējiet vēlreiz ar izvietoto profilu, nevis ar testa resursdatoru, jo laboratorijas rokasspiediens pierāda mazāk nekā pabeigts īsta klienta savienojums.

Turiet īsu ierakstu katram WAN ar adresi, portu, pabeidzošo saskarni, sertifikāta vārdu, atgriešanās ceļu un tulkošanas noteikumu, un pārbaudiet to vēlreiz ikreiz, kad mainās kanāls, NAT ierīce vai klienta versija. Dīkstāvē esošie rezerves ceļi klusi pūst: nekas nebrīdina par ierakstu, ko neviens neizmanto, līdz dienai, kad visi no tā ir atkarīgi.