ചോർച്ചകളില്ലാതെ റൂട്ടറിൽ VPN ഫെയിൽഓവർ നയം എങ്ങനെ നിർമ്മിക്കാം

ഫെയിൽഓവർ കോൺഫിഗർ ചെയ്തതുപോലെ കൃത്യമായി പ്രവർത്തിച്ചു, അതായിരുന്നു പ്രശ്നം। പ്രധാന ടണൽ വീണപ്പോൾ, റൂട്ടർ ഡിഫോൾട്ട് റൂട്ട് കേബിൾ മോഡമിലേക്ക് മാറ്റി, ലാപ്ടോപ്പുകൾ ബ്രൗസിംഗ് തുടർന്നു, ആരും വിളിച്ചില്ല। രണ്ട് ദിവസത്തിന് ശേഷം ധനകാര്യ പങ്കിട്ട ഫോൾഡർ ആറ് മണിക്കൂർ തുറന്ന ഇന്റർനെറ്റ് വഴിയിൽ ലഭ്യമായിരുന്നുവെന്ന് ആരോ ശ്രദ്ധിച്ചു। റൂട്ടറിലെ VPN ഫെയിൽഓവർ നയം ഒരു റൂട്ടിംഗ് തന്ത്രമല്ല; മുൻഗണനാ വഴി പോയാൽ ട്രാഫിക് എന്ത് ചെയ്യണമെന്ന തീരുമാനമാണ്, ആ തീരുമാനം വഴി അപ്രത്യക്ഷമാകുന്നതിന് മുമ്പ് ഉണ്ടായിരിക്കണം।

ഡിറ്റക്ടർ തിരഞ്ഞെടുക്കുന്നതിന് മുമ്പ് ഫലം തീരുമാനിക്കുക

സാധാരണയായി മൂന്ന് ഫലങ്ങൾ മേശപ്പുറത്തുണ്ട്: ബാധിത ക്ലയന്റുകളെ ബാക്ക്അപ്പ് ടണലിലൂടെ അയയ്ക്കുക, അവരെ സാധാരണ WAN ഉപയോഗിക്കാൻ അനുവദിക്കുക, അല്ലെങ്കിൽ അവരെ പൂർണ്ണമായി ബ്ലോക്ക് ചെയ്യുക। ഏത് ഏത് VLAN, SSID അല്ലെങ്കിൽ ഉപകരണ വർഗ്ഗത്തിന് ബാധകമെന്ന് എഴുതുക। ഒരൊറ്റ പരന്ന “WAN-ലേക്ക് മാറുക” നിയമമാണ് മുകളിലെ ധനകാര്യ ഫോൾഡർ പൊതുവഴിയിൽ എത്തിയതിന്റെ കാരണം।

ഈ മൂന്നും പരസ്പരം മാറ്റാവുന്നതല്ല। WAN ഫോൾബാക്ക് സപ്പോർട്ട് ഡെസ്ക് ഫോണുകൾക്ക് ഉത്തരം നൽകുന്നത് തുടരുന്നു, പക്ഷേ ആന്തരിക നാമങ്ങൾ പ്രാദേശിക റിസോൾവറിന് വെളിപ്പെടുത്തുന്നു। ബാക്ക്അപ്പ് ടണൽ നയം സംരക്ഷിക്കുന്നു, പക്ഷേ മറുവശം സ്വീകരിക്കാത്ത എക്സിറ്റ് വിലാസത്തിൽ ഇറങ്ങിയേക്കാം। ബ്ലോക്കിംഗ് ശമ്പള VLAN-ന് ശരിയും ടണൽ ഒരിക്കലും ഉപയോഗിക്കാത്ത ഗസ്റ്റ് നെറ്റ്വർക്കിന് തെറ്റുമാണ്।

യഥാർത്ഥത്തിൽ ഭയപ്പെടുന്ന തകരാറിന് ഡിറ്റക്ടറെ യോജിപ്പിക്കുക

ഹാൻഡ്ഷേക്ക് നില, ഇന്റർഫേസ് നില, ഉപയോഗയോഗ്യമായ ഫോർവേഡിംഗ് എന്നിവ മൂന്ന് വ്യത്യസ്ത സിഗ്നലുകളാണ്, ഉപയോക്താവിന് അവസാനത്തേത് മാത്രമാണ് പ്രധാനം। WireGuard പീയർ സമീപകാല ഹാൻഡ്ഷേക്ക് കാണിച്ചേക്കാം, അതേസമയം ദാതാവിന്റെ അപ്സ്ട്രീം പാക്കറ്റുകൾ കറുത്ത കുഴിയിലേക്ക് എറിയുന്നു। OpenVPN ക്ലയന്റ് താൻ തള്ളിയ റൂട്ട് പരിഹരിക്കപ്പെടാതെ വന്നതിന് ശേഷവും “കണക്റ്റുചെയ്തത്” നിലയിൽ ഇരിക്കാം।

pfSense-ൽ പ്രായോഗിക ക്രമീകരണം dpinger പോഷിപ്പിക്കുന്ന ഗേറ്റ്വേ ഗ്രൂപ്പാണ്, അത് ഒരു നിരീക്ഷണ വിലാസം പരിശോധിക്കുകയും നഷ്ടമോ കാലതാമസമോ അതിന്റെ പരിധികൾ കവിയുമ്പോൾ ഗേറ്റ്വേ ഡൗൺ എന്ന് അടയാളപ്പെടുത്തുകയും ചെയ്യുന്നു। ആ നിരീക്ഷണം ടണലിന് അപ്പുറത്തുള്ള എന്തിലേക്കെങ്കിലും തിരിച്ചുവിടുക, ഉദാഹരണത്തിന് വിദൂര LAN-ലെ ഒരു ഹോസ്റ്റ് അല്ലെങ്കിൽ അതിലൂടെ നിങ്ങൾ എത്തുന്ന പൊതു വിലാസം। അത് ടണലിന്റെ സ്വന്തം പീയർ വിലാസത്തിലേക്ക് തിരിച്ചുവിടുന്നത് ഇതിനകം ജീവനോടെയുണ്ടെന്ന് നിങ്ങൾക്കറിയാവുന്ന ഭാഗം അളക്കുന്നു।

ബാക്ക്അപ്പ് അവസാന മാർഗ്ഗമായി തുടരുന്ന വിധത്തിൽ ഗ്രൂപ്പ് നിർമ്മിക്കുക

ഒരു പരന്ന അംഗ പട്ടികയ്ക്ക് പകരം തലങ്ങൾ ഉപയോഗിക്കുക। പ്രാഥമികം തലം 1-ൽ, ബാക്ക്അപ്പ് ടണൽ തലം 2-ൽ, WAN തലം 3-ൽ നയം അനുവദിക്കുന്ന VLAN-കൾക്ക് മാത്രം। pfSense-ൽ ഇത് System > Routing > Gateway Groups എന്നതിന് കീഴിലാണ്: രണ്ട് ഗേറ്റ്വേകളും ചേർക്കുക, അവയ്ക്ക് വ്യത്യസ്ത തലങ്ങൾ നൽകുക, Trigger Level member down plus packet loss ആയി സജ്ജമാക്കുക, സംരക്ഷിക്കുക, തുടർന്ന് ഗ്രൂപ്പ് ഇന്റർഫേസ് ഡിഫോൾട്ടായി അല്ലെങ്കിൽ അത് ആവശ്യമുള്ള ഫയർവാൾ നിയമങ്ങളുടെ Gateway ഫീൽഡിൽ പ്രയോഗിക്കുക।

pfSense 2.5-ലും അതിനുശേഷമുള്ള പതിപ്പുകളിലും OpenVPN ക്ലയന്റ് ഇൻസ്റ്റൻസിന്, ഇൻസ്റ്റൻസിന്റെ Default Gateway ക്രമീകരണം ടണൽ സിസ്റ്റത്തിന്റെ ഡിഫോൾട്ട് റൂട്ട് മാറ്റിസ്ഥാപിക്കുന്നുണ്ടോ എന്ന് തീരുമാനിക്കുന്നു। നിയമപ്രകാരമുള്ള നയ റൂട്ടിംഗ് നിങ്ങൾ അനുമാനിക്കുന്ന റൂട്ട് യഥാർത്ഥത്തിൽ ഇൻസ്റ്റാൾ ചെയ്തിരിക്കുമ്പോൾ മാത്രമാണ് പ്രതീക്ഷിച്ചപോലെ പെരുമാറുന്നത് । മാറ്റത്തിന് ശേഷം Status > Gateways പരിശോധിക്കുക, ടണൽ സ്റ്റാറ്റസ് ഐക്കണിൽ വിശ്വസിക്കുന്നതിന് പകരം।

രണ്ട് ക്രമീകരണങ്ങളാണ് കൂടുതൽ ഫ്ലാപ്പിംഗ് ഉണ്ടാക്കുന്നത്। ഒന്ന് ദാതാവിന്റെ സ്വന്തം പുനഃസംഗമത്തേക്കാൾ ചെറിയ പ്രോബ് ഇടവേളയാണ്। മറ്റൊന്ന് പ്രാഥമികവും ബാക്ക്അപ്പും തലം പങ്കിടുന്ന ഗ്രൂപ്പാണ്, അതിനാൽ രണ്ടും എപ്പോഴും യോഗ്യമായി തുടരുന്നു। നിങ്ങളുടെ ഉപയോക്താക്കൾ നിങ്ങൾക്കുപകരം മാറ്റങ്ങൾ അനുഭവിക്കുന്നതിന് മുമ്പ് നഷ്ട-കാലതാമസ പരിധികളിലൂടെ ഹിസ്റ്റെറസിസ് ചേർക്കുക।

ടണൽ ഒരിക്കലും സ്വന്തമാക്കാത്ത വഴികൾ അടയ്ക്കുക

ആദ്യം DNS ചോർച്ചകൾ। റിസോൾവർ WAN-ൽ ഉത്തരം നൽകുന്നതും അവിടെനിന്ന് കൈമാറുന്നതും തുടരുന്നു, അതിനാൽ ട്രാഫിക് ടണലിൽ പിന്നിട്ടിരിക്കുമ്പോഴും നാമങ്ങൾ ISP വഴി പരിഹരിക്കപ്പെടുന്നു। റിസോൾവറിന്റെ ഔട്ട്ബൗണ്ട് ഇന്റർഫേസുകൾ പരിമിതപ്പെടുത്തുക, ആന്തരിക റിസോൾവർ ക്ലയന്റുകളിലേക്ക് തള്ളുക, VPN-മാത്രം VLAN-കളിൽ ബാക്കിയെല്ലാത്തിനും പോർട്ട് 53 ബ്ലോക്ക് ചെയ്യുക।

IPv6-ന് സ്വന്തം തീരുമാനം വേണം। ഡ്യുവൽ-സ്റ്റാക്ക് LAN ടണൽ നഷ്ടപ്പെടുത്തിയാലും പ്രവർത്തിക്കുന്ന ആഗോള IPv6 ഡിഫോൾട്ട് റൂട്ട് നിലനിർത്താം, അതിനാൽ ബ്രൗസറുകൾ IPv6-ന് മുൻഗണന നൽകി WAN വഴി പുറത്തുപോകുന്നു, IPv4 പൂർണ്ണമായി നിയന്ത്രിതമായി തോന്നുന്നു। ഒന്നുകിൽ IPv6 ടണലിലേക്ക് റൂട്ട് ചെയ്യുക, അല്ലെങ്കിൽ ടണൽ ഡൗൺ ആയിരിക്കുമ്പോൾ ആഗോള പ്രിഫിക്സ് പ്രഖ്യാപിക്കുന്നത് നിർത്തുക। പകുതി നയം ഒന്നുമില്ലാത്തതിനേക്കാൾ മോശമാണ്, കാരണം അത് പ്രവർത്തിക്കുന്നതുപോലെ തോന്നുന്നു।

തുടർന്ന് മടങ്ങിവരവ് വഴി। ബാക്ക്അപ്പ് എക്സിറ്റ് വേറെ സ്രോതസ്സ് വിലാസം ഉപയോഗിക്കുന്നുവെങ്കിൽ, മറുവശം ട്രാഫിക് എങ്ങനെ തിരികെ അയയ്ക്കണമെന്ന് അറിയണം, പഴയ വിലാസത്തോട് ബന്ധിപ്പിച്ച ഓരോ അവസ്ഥയും ഇതിനകം മരിച്ചിരിക്കുന്നു। പ്രാഥമികം വീണപ്പോൾ തുറന്നിരുന്ന സെഷനുകൾ കുടിയേറുന്നില്ല; അവ കാലഹരണപ്പെടുന്നതുവരെ നിൽക്കുന്നു, ആപ്പ്ലിക്കേഷൻ എന്ത് ചെയ്യണമെന്ന് തീരുമാനിക്കുന്നു।

വീഴ്ച, ഫ്ലാപ്പിംഗ്, തിരികെ കയറുന്ന വഴി എന്നിവ പരീക്ഷിക്കുക

ഹാനികരമല്ലാത്ത ട്രാഫിക് ഓടിക്കൊണ്ടിരിക്കെ പ്രാഥമികം വലിച്ചെടുക്കുക, തുടർന്ന് നാല് കാര്യങ്ങൾ വായിക്കുക: Status > Gateways ഗ്രൂപ്പിലെ അംഗങ്ങളുടെ അവസ്ഥകൾക്കായി, pfctl -ss പഴയ ഗേറ്റ്വേയിൽ ഇപ്പോഴും പിന്നിട്ടിരിക്കുന്ന അവസ്ഥകൾക്കായി, എക്സിറ്റ് വഴിക്കായി ക്ലയന്റിൽ നിന്നുള്ള traceroute, ഏത് സർവറാണ് ഉത്തരം നൽകിയതെന്ന് കാണാൻ ഒരു റിസോൾവർ ചോദ്യം।

ഇപ്പോൾ അത് ഫ്ലാപ്പ് ചെയ്യുക। പ്രാഥമികം മുപ്പത് സെക്കൻഡ് ഉയർത്തുക, മുപ്പത് താഴ്ത്തുക, രണ്ട് തവണ। ട്രാഫിക് ഓരോ മാറ്റവും പിന്തുടരുന്നുവെങ്കിൽ, പരിധികൾ വളരെ കർശനമാണ് അല്ലെങ്കിൽ തലങ്ങൾ തെറ്റാണ്। അത് നിങ്ങളുടെ ഷെഡ്യൂളിൽ ശരിയാക്കുക, അല്ലെങ്കിൽ ദാതാവ് അത് തന്റെ ഷെഡ്യൂളിൽ ചെയ്യും।

അവസാനം, നിങ്ങൾക്ക് ഇപ്പോഴും റൂട്ടർ കൈകാര്യം ചെയ്യാമെന്ന് സ്ഥിരീകരിക്കുക। കൺസോൾ കേബിൾ, മാനേജ്മെന്റ് VLAN അല്ലെങ്കിൽ സെല്ലുലാർ മോഡം പോലുള്ള ഒരു ഔട്ട്-ഓഫ്-ബാൻഡ് വഴി സൂക്ഷിക്കുക। നിങ്ങളെ പുറത്ത് പൂട്ടുന്ന ഫെയിൽഓവർ പരീക്ഷ നിങ്ങൾക്ക് പൂർത്തിയാക്കാൻ കഴിയാത്ത പരീക്ഷയാണ്, എത്തിച്ചേരാനാകാത്ത റൂട്ടറിന് സ്വയം തിരികെ വരാനാകില്ല।

നയം പൂർത്തിയായി പ്രഖ്യാപിക്കുന്നതിന് മുമ്പ്, ടെർമിനൽ തുറക്കാതെ നാല് ചോദ്യങ്ങൾക്ക് ഉത്തരം നൽകാൻ കഴിയണം: ടണൽ ഡൗൺ ആയിരിക്കുമ്പോൾ ഏത് VLAN-കൾക്ക് WAN ഉപയോഗിക്കാം, ഡിറ്റക്ടർ എന്ത് നിരീക്ഷിക്കുന്നു, എത്ര കാത്തിരിക്കുന്നു, ഏത് നാമ സർവറുകളും IPv6 റൂട്ടുകളും വഴിയൊപ്പം നീങ്ങുന്നു, ബാക്ക്അപ്പും പരാജയപ്പെട്ടാൽ നിങ്ങൾ എങ്ങനെ തിരികെ വരും। ഏതെങ്കിലും ഉത്തരം “ഡിഫോൾട്ട് എന്തായിരുന്നോ അത്” ആണെങ്കിൽ, നയം ഇപ്പോഴും റൂട്ടറിന്റേതാണ്, നിങ്ങളുടേതല്ല।