Лебдечката резервна VPN рута не презема: контролна листа за префрлање

Вашата лебдечка VPN рута е конфигурирана, растојанието на резервата е поголемо од основната, а сепак ништо никогаш не се поместува. Или се поместува, па се враќа по неколку минути додека безжичната врска сѐ уште е падната. Во двата случаи нешто друго освен дефектот што ве загрижува ја одредува подобноста на рутата.

Извршете ги овие проверки по ред. Секоја има услов за запирање, а неуспешна проверка не може да се спаси со следните. Примерите користат RouterOS синтакса бидејќи растојанието, достапноста на портата и рекурзивниот следен скок се видливи таму во конфигурацијата, но редот важи за секој рутер со следени статични рути.

Именувајте го дефектот што резервата треба да го покрие

«Основната е падната» се четири различни набљудувања. Радио што го губи својот партнер, интерфејс што го губи својот носач, оддалечена порта што престанува да одговара и апликација што престанува да работи изгледаат различно од местото на рутерот. Запишете за која од нив е дизајнот пред некој да промени вредност на растојание.

Потоа проверете независноста. Ако надворешниот транспорт на VPN оди по истата безжична патека или по пристапна врска што го дели истиот горен тек, резервата не е втор домен на дефект и ќе биде падната токму кога ви треба. Повлечете го основниот кабел на хартија: ако транспортот на самиот тунел умре со него, лебдечката рута покрива само конфигурациски грешки, не прекини.

Престанете да барате од растојанието да открие нешто

Поголемо растојание прави рутата помалку преферирана. Тоа е целата работа. Додека основната статична рута останува подобна, лебдечката рута останува неактивна, и тоа е правилно однесување, а не грешка. Дефектот станува видлив само кога основната е повлечена или означена како недостапна.

За статични рути тоа бара експлицитен следач:

/ip route
add dst-address=10.20.0.0/24 gateway=192.0.2.1 distance=1 check-gateway=ping
add dst-address=10.20.0.0/24 gateway=wg-backup distance=10

Прочитајте што тестира тоа: следниот скок, не одредиштето. Радио што сѐ уште одговара на својата локална страна додека препраќањето понатаму е скршено ја држи основната рута активна. Тоа е тивкиот случај, а растојанието плус проверка на портата нема да го фатат. Ако тој случај е важен, откривањето мора да дојде од нешто што ја набљудува далечната страна: соседство на протокол за рутирање или сонда чија патека и правило за резултат сами сте ги дефинирале.

Следете каде одат сопствените пакети на сондата

Здравствената сонда има и рута. Штом податочниот сообраќај премине на VPN, неограничена сонда до истата оддалечена адреса може да го следи, да успее и да биде прочитана како доказ дека основната се вратила. Сообраќајот се враќа на скршена патека и циклусот се повторува.

Закачете ја сондата на патеката што треба да ја процени. Во RouterOS вообичаениот начин е рута до домаќин кон целта за надзор преку основната порта, со опсег доволно мал што ниту една друга рута не може да ја реши, и тоа е она што го гради примерот за рекурзивно префрлање во прирачникот на RouterOS. Потврдете го во живата табела со активна резерва, а не од коментарот во конфигурацијата:

/ip route print detail where dst-address=203.0.113.10
# gateway should still be the primary next hop

Дефинирајте што значи резултатот од сонда пред да додадете цели

Една цел што одбива ICMP или оди во одржување изгледа токму како дефект на патека, а три цели без правило ви даваат само три мислења. Прво одлучете го правилото, потоа применете го: на пример, основната се смета за падната кога две од три цели не успеваат во два последователни интервали, запишано во оперативниот прирачник каде што следниот човек ќе го најде.

Поставете прагови за дефект и обновување така што еден изгубен пакет нема да ја помести локацијата. Хистерезата чини малку време за откривање и враќа стабилност. Изберете го интервалот според тоа колку долго е толерантен прекин, а не според тоа колку брзо може да работи сондата, и држете го враќањето побавно од префрлањето за основната да мора да се докаже пред да го добие сообраќајот назад.

Проверете ја повратната патека и приказната за сесиите

Префрлање што работи само нанадвор е половина дизајн. Оддалечената локација има потреба од повратна рута до вашиот изворен опсег преку VPN, инаку повратниот сообраќај доаѓа од неочекувана адреса и удира во состојба на огнено ѕид што повеќе не се совпаѓа. Постоечките сесии ќе се скинат дури и кога новите врски работат, затоа ставете го тоа во критериумите за прифаќање наместо да ветувате преживување на преносот.

Држете го пристапот за управување надвор од патеката што се тестира. Ако вашиот единствен влез е преку основната, тестот за префрлање ве заклучува надвор од уредот што се однесува погрешно.

Извршете ја низата за прифаќање

Три теста покриваат поголем дел: физичко губење на основната, тивок дефект на препраќање со интерфејсот сѐ уште горе и обновување на основната. За секој, запишете го изворот и следниот скок на сондата, активната рута до одредиштето и свежа дозволена размена на апликација во двете насоки.

Тивкиот случај е тој што ги одделува дизајните. Ако резервата таму не преземе, сте изградиле монитор на врска, а не монитор на патека. Одлучете дали тоа е прифатливо и запишете го ограничувањето таму каде што дежурниот инженер ќе го прочита. Втор поврзан тунел сам по себе не е завршена резервна политика.