Втора VPN крајна точка: што покрива и што не

Две крајни точки на хартија изгледаат како резерва. Во пракса втората адреса помага само кога клиентите можат да ја достават и кога го избегнува дефектот за кој се подготвувате. Два сервера зад истата пристапна врска, истата сметка или истата целна мрежа паѓаат заедно. Корисното прашање е кој единствен дефект го отстранува втората крајна точка.

Споредете што делат двете крајни точки

Наведете што е заедничко за двете крајни точки пред да броите што дуплираат. Локацијата на хостинг, сметката кај давателот, горниот транзит, DNS хостингот, изворот на идентитет и приватниот ресурс зад тунелот секој претставува заедничка или независна зависност. Две виртуелни машини во еден регион делат испад на давателот. Два региони под една сметка се уште ги делат сметководните односи и контролната рамнина што ги создава.

Целната мрежа заслужува ист третман. Здрава резервна порта не може да врати NAS што е офлајн и не може да стигне до канцелариска мрежа чиј горен канал е паднат. Ако двете крајни точки завршуваат во иста приватна подмрежа, втората додава само пат кон дестинација која веќе е единствената точка на отказ.

Идентитетот е зависноста што луѓето ја забораваат. Клонирањето на сертификатот и конфигурацијата на втор домаќин создава две места каде истиот акредитив може да се копира и не кажува ништо за тоа како отповикувањата стигнуваат до двете.

Одлучете како клиентот се префрла

Втората крајна точка е корисна само ако клиентот знае за неа и може да ја избере без повик до поддршката. OpenVPN профилите за врска можат да носат неколку remote линии со политика за избор, а повеќето клиенти нудат алтернативен профил во мени. Каков и да е механизмот, запишете кој го имаат вашите корисници, бидејќи профил што не можат да го најдат не е префрлање.

Прочитајте ја документацијата на клиентот за промени на адресата за време на сесија. Некои имплементации го задржуваат првичниот партнер за целиот век на тунелот и алтернативите ги гледаат само при повторно поврзување. Таа разлика одлучува дали мртва крајна точка ќе даде краток прекин или сесија што никогаш не се опоравува. Тестирајте го патот на повторно поврзување наместо да претпоставувате дека се случува.

Променетата излезна адреса го крши и статусот на апликацијата. Префрлањето е опоравување, а опишувањето како непрекинат континуитет создава очекување што транспортот не може да го исполни.

Тестирајте еден вистински дефект

Изберете еден контролиран прекин и изведете го од почеток до крај, наместо да му верувате на проектниот документ. Запрете ја примарната крајна точка, потоа потврдете дека овластен клиент стигнува до предвидената апликација преку алтернативата, додека неовластените клиенти се уште не можат. Запишете колку траеше префрлањето и што виде апликацијата.

dig +short vpn2.example.net
ip route get 10.20.30.41
journalctl -u openvpn@backup --since '-10 min'

Првата наредба потврдува дека резервното име се решава во нешто рутирачко пред да ви треба, и тоа е најевтиниот тест овде. Втората покажува кој интерфејс јадрото би го користело за приватна дестинација кога алтернативата е крената. Третата го дава дневникот на клиентот со името на партнерот со кој навистина се поврзал, и тоа е единствениот доказ дека префрлањето се случило. Гледајте го и однесувањето на блокирање во празнината, бидејќи политика што пропушта сообраќај при префрлање е полоша од краток прекин.

Потоа вратете го оригиналот и потврдете дали клиентот се враќа. Враќање што се случува случајно е однесување што никој не го планирал.

Запишете што дава втората адреса

Резимирајте го покривањето во еден пасус: кој дефект го отстранува втората крајна точка, кои дефекти ги дели со првата и на кои претпоставки почива префрлањето. Наведете го механизмот на страната на клиентот, како и приватните рути и однесувањето на DNS што мора да постојат на двете места. Јавниот интернет излез не е замена за приватна порта, а документ што ги третира како заменливи ќе биде веруван. Додајте го тестот за опоравување што го изведовте, со датумот и резултатот.

Независноста од еден сервер не е независност од заедничката сметка или целната мрежа. Токму пасусот што го кажува тоа гласно спречува втората адреса внатрешно да се продава како висока достапност. Тој му кажува и на следниот оператор што прво да провери кога парот паѓа заедно.