Два активни IPsec тунели и понатаму бараат план за повратен пат

Отворете терминал на работна станица на едната локација и поврзете се со сервер на другата. Тој еден TCP разговор сега мора да помине низ четири порти наместо две, а интересното не е дали работи во добар ден. Интересното е кој пар порти го избрала насоката напред, кој пар го избира одговорот и кој ја држи состојбата за текот додека тоа се случува. Ништо во табелата за рутирање не го одлучува тоа наместо вас.

Нацртајте четири порти пред да нацртате рута

Двојно активен дизајн со два независни VPN огнени ѕида по локација, еден пар по добавувач, ви дава два употребливи патишта и три начини да ги скршите. Запишете ги адресите пред да конфигурирате било што: клиентот како што се гледа пред и по секоја порта, серверот исто така, следниот скок напред и следниот скок назад.

Таа табела е дизајнот. Сето по неа е прашање дали уредите се согласуваат со табелата.

Како се избира патот напред

Слој за повеќепатно рутирање со еднаков трошок ги распоредува тековите по следните скокови со хеширање на полињата од заглавието, што RFC 2992 го опишува детално. Тој избор може да биде целосно без состојба: не му треба запис за следење на врската, туку само стабилен хеш врз непроменети полиња. Држете го множеството патишта и хеш-влезовите константни и секој пакет од текот ќе го избере истиот следен скок.

Изборот по тек избегнува прередување што би го предизвикало балансирање пакет по пакет врз врски со различно доцнење. Тој не ветува дека еднаков трошок за рутирање значи еднакво измерено доцнење, бидејќи не е така. А кога составот на патиштата се менува, тековите се премапираат, па преживувањето на врската за време на дефект е одделен услов од изборот на пат.

Што навистина му треба на повратниот пат

Овде прошетката престанува да биде симетрична. Стабилен хеш напред не ви кажува ништо за тоа што ќе направи далечната локација со одговорот. Ако независен огнен ѕид мора да ги види двете насоки на врската за да одржи корисна состојба, повратна рута што го заобиколува остава сообраќај што не се совпаѓа со ништо. Две кутии со слични множества правила не се заедничка состојба.

Потврдете го применетото двовизначно однесување или напишете изречна политика што ги држи потребните граници кохерентни. Претпоставка овде се открива за време на прекин, од луѓе на кои тоа не им се допаѓа.

Каде преводот одлучува наместо вас

NAT е другата лост, и тој е изборен, а не задолжителен. Преведените идентитети специфични за патот можат да ги насочат одговорите назад кон портата што ја држи состојбата, што е легитимен дизајн. Тие додаваат и мапирања, повратни рути и сопственик на таа состојба, па товарот прифатете го само за услов што можете да го кажете на глас.

Ако условот е едноставно двата пата да носат сообраќај и кој било од нив да го преживее губењето на добавувач, обичниот повеќепатен тек со кохерентно повратно рутирање обично е помалиот дизајн.

Поминете го прифаќањето по ред

Тестирајте по овој редослед и запишете ги адресите на секој чекор: нова врска на патот A и нејзиниот одговорен пат, истото на патот B, потоа губење на еден добавувач, потоа обнова. За секој резултат забележете кои воспоставени текови се преместиле, кои морале повторно да се поврзат и каде потоа отишле новите текови. Прво запишете ја очекуваната вредност, потоа споредете ја со снимката. Два воспоставени тунели не докажуваат ништо од тоа.

Дизајнот е завршен кога табелата што сте ја напишале се совпаѓа со тоа што го покажува снимката, а не кога двата тунели се кренати.