Како да изградите политика за префрлање на VPN на рутерот без истекувања

Префрлањето работеше точно како што беше конфигурирано, и токму тоа беше проблемот. Кога основниот тунел падна, рутерот ја премести стандардната рута на кабелскиот модем, лаптопите продолжија да прелистуваат, и никој не се јави. Два дена подоцна некој забележа дека финансиската споделена папка била достапна преку отворениот интернет пат шест часа. Политиката за префрлање на VPN на рутерот не е трик со рутирање; таа е одлука за тоа што треба да прави сообраќајот кога преферираниот пат го нема, и таа одлука мора да постои пред патот да исчезне.

Одлучете го исходот пред да го изберете детекторот

Обично на масата има три исходи: да ги испратите засегнатите клиенти низ резервен тунел, да им дозволите да го користат обичниот WAN или целосно да ги блокирате. Запишете кој важи за кое VLAN, SSID или класа уреди. Едно рамно правило “префрли на WAN” е причината зошто финансиската папка погоре заврши на јавен пат.

Овие три не се заменливи. Враќањето на WAN ја држи поддршката да одговара на телефони додека ги изложува внатрешните имиња на локалниот решавач. Резервниот тунел ја запазува политиката, но може да слета на излезна адреса што другата страна не ја прифаќа. Блокирањето е точно за VLAN на плати и погрешно за гостинска мрежа што никогаш не го користела тунелот.

Прилагодете го детекторот на дефектот од кој навистина се плашите

Состојбата на ракувањето, состојбата на интерфејсот и употребливото препраќање се три различни сигнали, и за корисникот е важен само последниот. WireGuard партнер може да покаже скорешно ракување додека горниот тек на провајдерот фрла пакети во црна дупка. OpenVPN клиентот може да остане на “поврзан” откако рутата што ја турна престана да се решава.

На pfSense практичното решение е група порти напојувана од dpinger, која проверува адреса за надзор и означува порта како исклучена кога загубата или доцнењето ги надминуваат нејзините прагови. Насочете го тој надзор кон нешто надвор од тунелот, на пример домаќин во далечната LAN или јавна адреса до која стигнувате преку него. Насочувањето кон сопствената партнерска адреса на тунелот го мери делот што веќе знаете дека е жив.

Изградете ја групата така што резервата останува последно средство

Користете нивоа наместо еден рамен список на членови. Основниот на ниво 1, резервниот тунел на ниво 2, WAN на ниво 3 само за оние VLAN чија политика го дозволува тоа. На pfSense ова се наоѓа под System > Routing > Gateway Groups: додајте ги двете порти, дајте им различни нивоа, поставете Trigger Level на member down plus packet loss, зачувајте и потоа примените ја групата како стандард на интерфејсот или во полето Gateway на оние firewall правила на кои им е потребна.

За клиентска инстанца на OpenVPN на pfSense 2.5 и понови верзии, поставката Default Gateway на инстанцата одлучува дали тунелот воопшто ја заменува системската стандардна рута. Рутирањето на политика по правило се однесува како што очекувате само кога рутата што ја претпоставувате навистина е инсталирана. По промената проверете Status > Gateways, наместо да му верувате на иконата за состојба на тунелот.

Две поставки предизвикуваат најголем дел од треперењето. Едната е интервал на проверка пократок од сопствената реконвергенција на провајдерот. Другата е група во која основниот и резервниот делат ниво, така што и двата остануваат подобни цело време. Додадете хистереза преку праговите за загуба и доцнење пред вашите корисници да ги почувствуваат премините наместо вас.

Затворете ги патиштата што тунелот никогаш не ги поседувал

Прво истекувањата на DNS. Решавачот продолжува да одговара на WAN и препраќа од таму, така што имињата продолжуваат да се решаваат преку ISP додека сообраќајот е закован за тунелот. Ограничете ги излезните интерфејси на решавачот, турнете го внатрешниот решавач кон клиентите и блокирајте порта 53 за сѐ друго на VLAN само-VPN.

IPv6 бара своја одлука. LAN со двоен стек може да го изгуби тунелот и да задржи работна глобална стандардна рута IPv6, така што прелистувачите претпочитаат IPv6 и излегуваат преку WAN додека IPv4 изгледа совршено затворен. Или рутирајте го IPv6 во тунелот, или престанете да рекламирате глобален префикс додека тунелот е исклучен. Половина политика е полоша од никаква, зашто изгледа како да работи.

Потоа повратниот пат. Ако резервниот излез користи друга изворна адреса, другата страна мора да знае како да го врати сообраќајот, и секоја состојба врзана за старата адреса е веќе мртва. Сесиите отворени кога падна основниот не мигрираат; тие стојат додека не истечат и апликацијата одлучува што да прави.

Тестирајте го паѓањето, треперењето и патот назад

Извлечете го основниот додека работи безопасен сообраќај, потоа прочитајте четири работи: Status > Gateways за состојбите на членовите на групата, pfctl -ss за состојби сѐ уште заковани за старата порта, traceroute од клиент за излезниот пат и прашање до решавачот за да видите кој сервер одговори.

Сега разтреперете го. Кренете го основниот триесет секунди, спуштете го триесет, двапати. Ако сообраќајот ја следи секоја транзиција, праговите се премногу тесни или нивоата се погрешни. Поправете го тоа по ваш распоред, зашто инаку провајдерот ќе го направи по својот.

На крајот потврдете дека сѐ уште можете да го администрирате рутерот. Држете вонпојасен пат како конзолен кабел, VLAN за управување или мобилен модем. Тест за префрлање што ве заклучува е тест што не можете да го завршите, а недостапен рутер не може сам да се врати.

Пред да ја прогласите политиката за готова, треба да можете без отворање терминал да одговорите на четири прашања: кои VLAN смеат да го користат WAN додека тунелот е исклучено, што надгледува детекторот и колку чека, кои сервери за имиња и IPv6 рути се движат со патот, и како се враќате ако и резервата не успее. Ако некој одговор е “што и да беше стандардот”, политиката сѐ уште му припаѓа на рутерот, а не вам.