VPN преку повеќе патеки: четири гаранции што операторот мора да ги обезбеди

Додадете втора WAN врска и тунелите се креваат, но копирањето датотека сѐ уште се заглувува кога една патека се ниша. Врските се здрави и VPN процесите работат; недостасува договор меѓу операторот и тунелот. Неколку сокети не се однесуваат автоматски како една врска, а апликацијата над нив не ја гледа разликата додека испораката не се прекине. Секој дел од договорот одговара на дефект што можете да го тестирате, и тоа го прави корисен.

Напишете го тој договор пред да изберете производ. Има четири дела: текот што го прима VPN, како операторот ги враќа податоците што недостасуваат, кој идентитет на крајната точка го преживува менувањето на патеката и како се однесува целината кога патеката откажува.

Симптомот: врските се активни, сесијата сепак се прекинува

Графикон за мониторинг што покажува дека двете врски се активни докажува само дека секоја патека може да носи сообраќај. Не докажува дека VPN гледа еден уреден тек, дека пакет изгубен на една патека се враќа на друга, ниту дека партнерот сѐ уште знае со која сесија разговара. Остатокот од договорот го покрива тоа што графиконот не може да го покаже.

Кога преносот се заглувува, откријте дали операторот продолжил да испорачува на патеката што преживеала. Ако сесијата умре додека втората врска е неактивна, операторот никогаш не ја користел. Ако сесијата преживее, но податоците пристигнуваат надвор од ред или дупликат, операторот преместува пакети без договор на ниво на врска. Временските ознаки од двете страни обично го разјаснуваат тоа.

Таа разлика ја одредува поправката. Проблем со рутирање или политика бара промена на изборот на патека; слој што недостасува за ред и закрепнување бара друг транспорт, а не поголем бафер.

Прва гаранција: бајтов тек на ниво на врска

Ако на VPN му треба сигурен уреден тек, операторот мора да ги идентификува бајтовите опсези над поединечната патека. Секоја основна TCP врска ги нумерира само своите сегменти, па примачот не може да пререди меѓу патеки користејќи само тие броеви.

Multipath TCP е стандардизираниот пример. Претставува еден сигурен бајтов тек додека координира неколку TCP подтекови, со пресликување на секвенцата и потврда на ниво на податоци. Апликацијата чита тек, а не подтекот што случајно доставил дел прв.

На Linux, MPTCP е opt-in по сокет преку IPPROTO_MPTCP. Кога преговорите не можат да користат однесување со повеќе патеки, документираниот резервен избор е обичен TCP, што значи дека апликацијата може да продолжи по една патека без никогаш да ја користи втората. Проверете какво однесување всушност договорил имплементираниот сокет, наместо да претпоставувате дека поставката на јадрото се применила.

Втора гаранција: ред, дуплирање и закрепнување

Патеките со различно доцнење и стапки на загуба го принудуваат операторот да баферира, пререди и препраќа. Договорот мора да наведе колку баферирање е дозволено, каков противпритисок гледа апликацијата и која патека носи повторно праќање.

Патека што останува поврзана, но престанува да испорачува, е потешка од чисто затворање. Операторот мора да ја открие, да ги премести податоците што чекаат и да избегне вечно чекање за сегмент што никогаш нема да пристигне. Едноставна проверка дека двете врски се активни не го покрива оваа состојба.

Дуплирањето бара свое правило. Испраќање на истиот товар по двете патеки може да го подобри доцнењето, но примачот мора да ја потисне копијата пред да стигне до VPN. IPsec anti-replay е изборен по безбедносна асоцијација и ги проверува редните броеви; слој за дуплирање што пререди или репродуцира пакети може да го активира или да го скрие проблемот додека тунелот не падне.

Трета гаранција: идентитет на крајната точка и приклучување на патеката

Партнерот бара стабилен начин да ја препознае сесијата кога ќе се појави нова патека. Ако секоја патека се автентификува како посебен тунел, VPN може да види две сесии наместо една. Ако операторот ги спои патеките под една сесија, мора да определи како се автентификува новата патека и што се случува со старата.

Забележете кои адреси и идентификатори остануваат стабилни: крајната точка на тунелот, идентификаторот на сесијата на операторот и секој посредник меѓу нив. Посредникот додава уште една граница на достапност и доверба дури и кога никогаш не го гледа заштитениот товар.

Тука живее и политиката. Патека што се приклучува од неочекувана мрежа може да биде технички валидна и сепак да го наруши предвидениот модел на доверба. Одлучете дали новите патеки се прифаќаат автоматски, бараат автентикација или се одбиваат.

Четврта гаранција: ограничено однесување при дефект

Тестирајте целосен дефект на патека, не само бавна патека. Патеката што преживува треба да ја носи сесијата без неограничен раст на меморијата, а закрепнувањето не смее да зависи од тајмер подолг од тоа што апликацијата го толерира. Кога дефектната патека ќе се врати, операторот мора да одлучи дали ќе ребалансира или ќе го остави текот каде е.

Поставете граници за баферирање, повторно праќање и број на патеки, потоа проверете ги при загуба, прередување, дуплирање и нерамнотежа на доцнењето. Вкупниот проток е најмалку интересниот број тука; континуитетот на испорака и мемориските граници се договорот.

Држете ја состојбата за закрепнување на операторот одделно од криптографската состојба на VPN. Сопствен слој за сигурност што заменува воспоставена автентикација или шифрирање не е кратенка, а повторната употреба на редни броеви меѓу слоевите прави заштитата од повторување и дијагностиката несигурни.

Прифатете го операторот со план за тестирање

Напишете ги четирите гаранции како проверки поминал или не: еден уреден тек, дефинирано закрепнување, стабилен идентитет на сесија, ограничено однесување при дефект. Извршете ја секоја проверка со една патека влошена, а потоа со една отстранета.

Еден успешен пренос на датотека низ промена на патека не докажува непрекинато работење. Повторете го преносот додека ја менувате претпочитаната патека и проверете го и погледот на операторот и сопствените бројачи на VPN. Ако двете не се согласуваат која патека ги носела податоците, договорот сѐ уште не е видлив.

Чувајте ја одобрената матрица со распоредувањето. Таа му кажува на следниот инженер кое однесување е ветено, кои комбинации патеки се тестирани и кој режим на дефект сѐ уште не е поддржан, без уште еден круг погодување од светлата за состојба на врските.