Две IPsec порти без заедничка IP: што всушност прави префрлањето при дефект

Исклучете ја портата A за време на состанок и гледајте како тунелот се враќа преку B една минута подоцна; врската работи, видео повикот можеби не. Тоа е чесната форма на студено префрлање помеѓу две IPsec порти со независни адреси. Клиентот повторно избира крајна точка и гради нова врска, што ја обновува достапноста без пренесување на криптографската состојба на старата сесија. Следењето на низата прави јасно кои ветувања дизајнот може да ги одржи.

Поставете ја сцената: две адреси, без лебдечка IP

Портата A одговара на една достапна адреса, а портата B на друга. Клиентот има одобрен начин да ја избере B кога A ја нема, и нема заедничка надворешна адреса што ја бараат двете порти. Во овој дизајн, виртуелна IP значи токму таа заедничка влезна точка, а не внатрешната адреса доделена на клиент за далечински пристап.

Оваа дефиниција е важна затоа што двете идеи се мешаат во тикетите, а поправката на едната не е поправка на другата. Извештај дека заедничкиот влез не ја следел портата опишува еден дизајн. Извештај дека преносниот компјутер ја изгубил внатрешната адреса го опишува закупот на клиентот. Различни сопственици, различни дневници, различни поправки.

Поминете низ дефектот: откријте, потоа изберете повторно

Прво нешто забележува дека A престана да одговара. Тоа може да биде откривање на мртов партнер на слојот на тунелот, протокол за рутирање што повлекува пат, или истек на апликација што конечно присилува повторно поврзување. Секој има различен временски размер, а најбавниот обично одредува колку чекаат корисниците.

Потоа клиентот ја избира B преку кој било механизам што го поддржува распоредувањето: втор конфигуриран далечински пункт, DNS име решено на здрава адреса, или рутирање што сега претпочита друг пат. Изборот е чекор на политика и мора да постои пред дефектот, инаку ќе се случи случајно.

Што B може и што не може да наследи

B може да споделува со A шаблон за конфигурација, сертификациско тело и политика за автентикација. Не може да ги наследи живите безбедносни асоцијации. Клучевите на сесијата, индексите на безбедносните параметри и состојбата на низата и припаѓаат на врската што ја воспоставиле A и клиентот, а B нема ниту еден од нив.

Преместувањето на таа состојба меѓу портите е вистински инженерски проблем, затоа документацијата на strongSwan за висока достапност го третира како дизајн на кластер, а не како конфигурациско знаменце. Конкретен кластерски рецепт не е општ одговор за облачна мрежа, а неговото копирање без поддржувачка инфраструктура купува сложеност наместо континуитет.

Воспоставување нова врска

Со избрана B, клиентот извршува нова IKE размена: нови вредности nonce, нови вредности Diffie-Hellman, нови идентификатори за добиените асоцијации. Автентикацијата повторно се случува кај B. Ако дизајнот се потпира на машински акредитиви, повторното поврзување може да биде без надзор; ако бара човечки фактор, некој мора да биде присутен за да се заврши префрлањето.

Дефинирајте го тоа корисничко искуство пред прекинот, а не за време на него. Кажете јасно што ќе прави клиентот, колку долго ќе се обидува и што ќе покаже кога ќе се откаже, затоа што разликата помеѓу една минута повторно поврзување и повик до поддршката обично е документација и тестиран профил.

Зачувувањето на истата внатрешна адреса им помага на апликациите што очекуваат стабилен локален идентитет, а не ги зачувува нивните сесии. NAT врските истекуваат, TCP врските се ресетираат и сѐ со сопствен истек самостојно одлучува дали да се обиде повторно.

Два тунела паралелно се различен дизајн

Спроведувањето на двата тунела истовремено е валиден образец кога го поддржуваат двете порти и дизајнот на рутирање. Тогаш изборот на рута го избира активниот пат, а повратниот пат мора да се совпадне, инаку сообраќајот излегува низ една порта и се враќа низ другата без состојба што би го поврзала.

Преклопувачките тунелски политики сами по себе не создаваат уредно префрлање. Тие создаваат два кандидати, и нешто мора детерминистички да одлучи меѓу нив: или рутирачка метрика, или приоритет на политика, или експлицитна претпочитаност кај клиентот.

Која и да форма ја изберете, запишете го договорот: како се открива дефектот, како се избира алтернативата, каква автентикација бара таа и колку долго се очекува да трае повторното поврзување. Заедничката IP може да го поедностави откривањето, но таа не е синоним за непрекината состојба, а достапноста е дизајн во секој случај.