Trīs OpenVPN pārslēgšanas veidi pfSense vidē, trīs mehānismi

„OpenVPN failover“ pfSense vidē aptver vismaz trīs nesaistītus risinājumus, un katram no tiem vajadzīgs cits mehānisms. Tuneli uzturēt dzīvu pāri rezerves interneta savienojumam, atkārtoti pieslēgties citam serverim un virzīt LAN datplūsmu uz citu jau izveidotu tuneli nav vienas funkcijas varianti. Izvēlieties kļūmi, pret kuru aizsargājaties, pirms būvējat vārtejas grupu. Grupa, kas novērš vienu no tām, neko nedara pārējām divām.

Nosauciet kļūmi, pirms būvējat grupu

Uzrakstiet teikumu, kuru vēlaties redzēt patiesu pārtraukuma laikā. „Tunelis atkārtoti pieslēdzas pa rezerves WAN“ un „filiāle joprojām sasniedz lietotni pa otru tuneli“ ir dažādi teikumi. Tikai pirmais attiecas uz transportu.

Pēc tam sasaistiet to ar mehānismu. Vietējā WAN zudums ir saskarnes izvēles problēma, miris attālais galapunkts ir savienojumu saraksta problēma, bet neizmantojams ceļš izveidotā tuneļa iekšienē ir maršrutēšanas un politikas problēma.

Vietējais WAN: pārvietot transportu

pfSense OpenVPN klientam atbalstītais vairāku WAN izkārtojums izvēlas piemērotu vārtejas grupu kā saskarni, kurai klients piesaistās. Tas ir tas, kas ļauj ārējam savienojumam iziet pa rezerves saiti, kad primārais sabrūk. Tas pats par sevi nemaina to, kā tiek maršrutēta iekšējā datplūsma.

Tā paša risinājuma servera puse ir atsevišķa. OpenVPN serverim, kuram jābūt sasniedzamam pa vairākām publiskām adresēm, vajadzīgs klausītājs un ienākošā politika katram no šiem ierakstiem, nevis tikai klients, kas prot zvanīt pa divām saitēm. Viens strādājošs publisks ieraksts nav pierādījums, ka otrais ir konfigurēts.

Politikas maršrutēšanas noteikums pārsūtītajiem LAN paketiem nav tas iestatījums, kas pārvieto lokāli ģenerētu VPN transporta savienojumu. Tie ir divi dažādi meklējumi, un viena maiņa nemaina otru.

Attālais galapunkts: cits serveris

Alternatīvs remote ir savienojumu saraksta funkcija. Klients izmēģina nākamo ierakstu, kad pašreizējais neatbild, kas ir noderīgi, ja konkrēts resursdators ir nokritis, nevis ja nokritusi ir jūsu pašu augšupielāde. Abas kļūmes no lietotāja galda izskatās līdzīgi un prasa dažādus labojumus.

Katram kandidātam jābūt īstam aizstājējam: saderīga autentifikācija, saderīga klienta politika un piekļuve tiem pašiem privātajiem resursiem. Otrs resursdatora nosaukums, kas izšķiras uz to pašu bojāto infrastruktūru, nav rezerve. Serveris bez vajadzīgā maršruta arī nav, lai cik veselīgi izskatītos tā rokasspiediens.

Šis mehānisms arī neļauj diviem tuneļiem pārsūtīt vienlaikus. Tas aizstāj vienu savienojumu ar citu secīgi, un starpība starp tiem ir redzama visam, kas darbojās.

Tuneļa ceļš: izvēlēties citu izeju

Kad divi tuneļi jau ir uzcelti un datplūsmai jāizmanto veselīgākais, mehānisms ir piešķirta VPN saskarne ar savu vārteju, plus skaidrs politikas noteikums, kas sūta pareizo datplūsmu uz to. Vārtejas grupa pār šīm piešķirtajām saskarnēm var izteikt prioritāti un uzraudzību.

Šis risinājums ir par atlasi, nevis atgūšanu. Jaunu savienojumu pārvietošana uz otru tuneli neko nepasaka par sesijām, kas jau izveidotas pirmajā, un neko par to, vai pretējā puse pieņems jauno avota adresi. Uzskatīt to par atgūšanas mehānismu nozīmē izvirzīt cerības pārāk augstu.

Ja prasība ir, lai esošās sesijas izdzīvotu, sakiet to skaidri. Lielākā daļa ieviešanu nepārceļ dzīvu plūsmu starp tuneļiem, un projektēšana tā, it kā to darītu, rada pārslēgšanu, kas diagrammā izskatās pareizi un praksē nomet katru atvērto savienojumu.

Monitorings, NAT un fail-closed noteikums

Monitoringam jāpārbauda kaut kas tāds, ko tunelim jāpiegādā. Mērķis, kas atbild no tuneļa partnera, bet ne no lietotnes tīkla aiz tā, ziņos par veselīgu stāvokli, kamēr lietotāji neko neredz. Nesasniedzams diagnostikas mērķis ziņos par mirušu stāvokli, kamēr ceļš ir kārtībā. Izvēlieties adresi apzināti un apstipriniet, ka tā ir sasniedzama tikai pa paredzēto tuneli.

Pārbaudiet izejošo NAT abām izejām. Strādājošs tulkojums uz primārās neapraksta rezerves avota adresi, un attālajam privātajam tīklam vajadzīgs atpakaļceļš, kas atbilst tai avota adresei, kuru uzrādāt. Tulkojums, kas ir pareizs vienā ceļā, otrā var būt klusi nepareizs.

Pēc tam izlemiet, kas notiek ar datplūsmu, kurai nekad nav jāizmanto WAN. pfSense ir definēta uzvedība noteikumiem, kuru izvēlētā vārteja ir nokritusi, un vēlāks plašs caurlaides noteikums vai noklusējuma maršruts var atcelt jūsu nodomu. Pierakstiet bloķēto iznākumu kā prasību un pārbaudiet to, pārtraucot ceļu.

Pārbaudiet zudumu un atgūšanu atsevišķi, ar datplūsmu, kuru jums atļauts ģenerēt, un vērojiet trīs lietas vienlaikus: WAN, kas nes ārējo savienojumu, tuneli, kas nes lietotnes pieprasījumu, un ceļu, kuru izvēlas atbilde. Pāris zaļu vārtejas indikatoru nav viens no šiem trim. Netgate vairāku WAN rokasgrāmata apraksta transporta piesaisti un eksportētās klienta alternatīvas, uz kurām tas balstās.