VPN-префрлање: кога повратниот пат останува на стариот тунел

Резервниот тунел се крева, примарниот паѓа, а апликацијата се уште истекува по време. На двете локации состојбата на тунелот изгледа здрава, и токму тоа збунува. Префрлање што ги преместува барањата на резервата, но ги остава одговорите на стариот пат, не е префрлање. Упатството подолу го проверува повратниот пат, не само ракувањето.

Прво запишете ги рутите на двата краја; погледот од една локација не може да покаже асиметричен пат. Тоа е и чекорот што најчесто се прескокнува под временски притисок.

Запишете ги рутите на двете локации пред тестот

За секој заштитен префикс запишете ја примарната рута, резервната рута и предноста што избира меѓу нив. Вклучете ја LAN портата зад секоја крајна точка на VPN, бидејќи крајната точка ретко е последниот скок.

Статичките метрики, следените рути и динамичкото рутирање ја изразуваат подобноста различно. Знајте која ја користи вашиот дизајн и што е потребно за алтернативата да стане активна. Запишете го условот до рутата, на пример пониска метрика додека проверката не успее.

Направете го ова на двете локации. Резерва што е преферирана на едната страна и игнорирана на другата ја создава токму асиметријата што се обидувате да ја избегнете.

Набљудувајте ги барањата и одговорите во секоја фаза

Користете безопасна дозволена апликација и набљудувајте три фази: нормална, откажување на примарниот пат и обновување. Во секоја фаза запишете кој тунел го носи барањето и кој одговорот. Достапната адреса на партнерот не докажува дека заштитениот пат на апликацијата работи. Забележете на двете локации за да биде видлив еднонасочниот тек.

Ако барањата се преместат, а одговорите не, проверете ја рутата на оддалечената локација кон префиксот на клиентот и нејзината предност за резервата. Тоа е одлука за рутирање, не откажување на тунелот.

По тестот вратете ја првичната состојба и потврдете дека примарниот пат повторно е префериран. Обновен примарен пат што не е префериран е дизајн на префрлање што не е завршен.

Управувајте со состојбата на сесијата кога се менува портата

Огнените ѕидови и NAT можат да ја чуваат состојбата на врската на една порта, а промената на патот кон друга порта не ја пренесува. Некои апликации сами се поврзуваат повторно; други не успеваат додека сесијата не се воспостави повторно. Ако резервата ја менува јавната адреса или преведената приватна адреса, може да реагираат и правилата за далечински пристап. Документирајте го секое очекувано рестартирање на сесијата наместо да ветувате префрлање без прекин.

Одржувајте стабилно адресирање онаму каде што апликацијата го бара. Дизајнот на префрлање што ја менува изворната адреса за секоја сесија е дизајнерски избор и треба да се запише. Тој избор одредува колку од прекинот корисниците навистина го забележуваат.

Тестирајте апликација што држи долга сесија, не само ново барање.

Вратете го примарниот пат и проверете за треперење

Потврдете дека најавите за рути или предностите се стабилизираат без осцилирање. Треперечкиот примарен пат може да биде пореметувачки од јасен прекин, бидејќи секој премин ја ресетира состојбата.

Одржувајте го управувањето со портата достапно преку пат за обновување, за да не ве заклучи самиот тест. Запишете ги фазите, набљудуваните патишта и времето на обновување; токму тој запис го прави следното префрлање предвидливо. Белешките на strongSwan за препраќање се корисни кога крајните точки се Linux домаќини.