രണ്ടാമത്തെ WAN VPN എൻട്രി പരാജയപ്പെടുന്നു, പ്രാഥമികമായത് ഇപ്പോഴും പ്രവർത്തിക്കുന്നു

പ്രാഥമിക ടണൽ ഉയർന്നു തന്നെ നിൽക്കുന്നു, ഉപയോക്താക്കൾ ജോലി തുടരുന്നു, രണ്ടാമത്തെ ISP സർക്യൂട്ട് നിങ്ങൾ എന്തു മാറ്റിയാലും നിഷ്ക്രിയമായി കിടക്കുന്നു. ബാക്കപ്പ് സർക്യൂട്ടിന് ഒരു വിലാസം പ്രസിദ്ധീകരിച്ചു, അതിലേക്ക് ഒരു പേര് ചൂണ്ടി, ഒരുപക്ഷേ ക്ലയന്റിൽ ഒരു ബാക്കപ്പ് എൻട്രി ചേർത്തു, എന്നാൽ ക്ലയന്റ് അത് ഒരിക്കലും പരീക്ഷിക്കുന്നില്ല അല്ലെങ്കിൽ സാധൂകരിച്ച ശേഷം മരിക്കുന്നു. ഞാൻ പിന്തുടർന്ന കേസുകളിൽ ഫെയിൽഓവർ സവിശേഷത സാധാരണയായി കുഴപ്പമില്ലായിരുന്നു; ഒരു എൻട്രിയെ ഉപയോഗപ്രദമാക്കുന്ന അഞ്ചു കാര്യങ്ങളിൽ ഒന്നാണ് കുറവായിരുന്നത്. ആ ഇന്റർഫേസിൽ ഒന്നും കേൾക്കാതിരിക്കുമ്പോൾ പേര് ബാക്കപ്പ് വിലാസത്തിലേക്ക് പരിഹരിക്കപ്പെടാം, ഉത്തരം പ്രാഥമിക പാതയിലൂടെ പുറത്തുപോകുമ്പോൾ ലിസണർ ഒരു കണക്ഷൻ സ്വീകരിക്കാം. ഓരോ WAN-നെയും സ്വന്തം കരാറുള്ള വേറിട്ട എൻട്രിയായി കാണുക, എന്നാൽ പരാജയം ക്ലയന്റ് ബഗ് പോലെ തോന്നുന്നത് നിലയ്ക്കും.

ഓരോ WAN-നും സ്വന്തം എൻട്രി കരാർ വേണം

ഓരോ WAN-നും അഞ്ച് ഫീൽഡുകൾ രേഖപ്പെടുത്തുക: പൊതു പേരും വിലാസവും, ഗതാഗതവും പോർട്ടും, അതിനെ അവസാനിപ്പിക്കുന്ന ഇന്റർഫേസോ സന്ദർഭമോ, അത് അവതരിപ്പിക്കേണ്ട പിയർ ഐഡന്റിറ്റി, ഉത്തരം എവിടെനിന്ന് പുറത്തുപോകുന്നു എന്നതും. രണ്ട് സർക്യൂട്ട് എന്നാൽ രണ്ട് പൂർണ്ണ സെറ്റുകൾ. രണ്ടാമത്തെ സെറ്റിന് അവസാനിപ്പിക്കുന്ന ഇന്റർഫേസോ തിരികെയുള്ള പാതയോ ഇല്ലെങ്കിൽ നിങ്ങൾക്ക് ബാക്കപ്പ് എൻട്രി ഇല്ല; ഉദ്ദേശ്യം വിവരിക്കുന്ന ഒരു DNS റെക്കോർഡ് മാത്രമുണ്ട്.

ഉപകരണവും അതിന്റെ പതിപ്പും ഈ ക്രമീകരണം പിന്തുണയ്ക്കണം. ഒരു DNS റെക്കോർഡിന് മറ്റൊരു ഇന്റർഫേസിൽ സേവനം തുറക്കാനാവില്ല, പല പ്ലാറ്റ്ഫോമുകളിലും ലിസണർ ഉപകരണത്തിനനുസരിച്ചല്ല, വിലാസത്തിനനുസരിച്ചാണ് ക്രമീകരിക്കുന്നത്. ASA-യിൽ ഇന്റർഫേസ് അടിസ്ഥാനമാക്കിയ IPsec ക്രിപ്റ്റോ മാപ്പുകളും ടണൽ ഗ്രൂപ്പുകളും പുറം ഇന്റർഫേസുമായി ബന്ധിപ്പിക്കുന്നു, അതിനാൽ രണ്ടാമത്തെ അപ്ലിങ്കിന് ആ പാക്കറ്റുകൾ യഥാർത്ഥത്തിൽ എത്തുന്നിടത്ത് നയം വേണം. റൂട്ട് അടിസ്ഥാനമാക്കിയ രൂപകൽപ്പനകൾ വ്യത്യസ്തമായി പെരുമാറുന്നു: ലിസണർ എല്ലാ വിലാസത്തിലേക്കും അല്ലെങ്കിൽ ഒരു പേരിട്ട വിലാസത്തിലേക്കും ബന്ധിക്കാം, ആ തിരഞ്ഞെടുപ്പാണ് ISP B-ക്ക് ഉത്തരം നൽകാനാകുമോ എന്ന് തീരുമാനിക്കുന്നത്.

രണ്ടാമത്തെ WAN യഥാർത്ഥത്തിൽ ഉത്തരം നൽകുന്നുണ്ടോ എന്ന് പരിശോധിക്കുക

ഗേറ്റ്വേയ്ക്ക് പിന്നിലുള്ള ഒരു യന്ത്രത്തിൽനിന്നല്ല, രണ്ട് സർക്യൂട്ടുകളുടെയും പുറത്തുനിന്ന് പരീക്ഷിക്കുക, ക്ലയന്റ് പ്രൊഫൈൽ ഉപയോഗിക്കുന്ന അതേ പേര് തന്നെ പരീക്ഷിക്കുക. TLS ലിസണറിന് വേഗത്തിലുള്ള പരിശോധന openssl s_client -connect ADDRESS:443 -servername vpn.example.com -showcerts ആണ്, അത് നിങ്ങളുടെ നെറ്റ്വർക്കിന് പുറത്തുള്ള ഒരു ഹോസ്റ്റിൽനിന്ന് പ്രവർത്തിപ്പിക്കുന്നു. പ്രൊഫൈലിലെ പേരുമായി ചേരുന്ന ചെയിനുള്ള പൂർത്തിയായ ഹാൻഡ്ഷേക്കാണ് വേണ്ടത്, കണക്ഷൻ സ്വീകരിക്കുന്ന ഒരു TCP പോർട്ട് മാത്രമല്ല.

RFC 9525 ക്ലയന്റ് എന്താണ് പരിശോധിക്കുന്നതെന്ന് വിശദീകരിക്കുന്നു: എത്താൻ ഉദ്ദേശിച്ച ഐഡന്റിറ്റിയെ സേവനം അവതരിപ്പിക്കുന്ന സർട്ടിഫിക്കറ്റുമായി താരതമ്യം ചെയ്യുന്നു. പ്രാഥമിക എൻട്രിയുടെ സർട്ടിഫിക്കറ്റ് തിരികെ നൽകുന്ന രണ്ടാമത്തെ എൻട്രിയോ, രണ്ട് പേരുകളിൽ ഒന്നും ലിസ്റ്റ് ചെയ്യാത്ത ഡിഫോൾട്ട് സർട്ടിഫിക്കറ്റോ ഈ പരീക്ഷണത്തിൽ പരാജയപ്പെടും, പോർട്ട് തുറന്നിരിക്കുകയും ഫയർവാൾ അനുവദിക്കുകയും ചെയ്താലും.

ഇവിടെയുള്ള മിക്ക പരാജയങ്ങളും രണ്ട് മാതൃകകൾ വിശദീകരിക്കുന്നു. തൂങ്ങിക്കിടക്കുന്ന കണക്ഷൻ സാധാരണയായി അർത്ഥമാക്കുന്നത് ആ ഇന്റർഫേസിൽ ലിസണർ ഇല്ല, പ്രാഥമിക സബ്നെറ്റുകൾക്ക് മാത്രം അനുമതി നൽകുന്ന ആക്സസ് നിയമം, അല്ലെങ്കിൽ രണ്ടാമത്തെ സർക്യൂട്ടിന് മുന്നിലുള്ള കാരിയർ ഉപകരണം പോർട്ട് ഉപേക്ഷിക്കുന്നു എന്നത്. തെറ്റായ ഐഡന്റിറ്റിയിൽ അവസാനിക്കുന്ന ഹാൻഡ്ഷേക്ക് സാധാരണയായി അർത്ഥമാക്കുന്നത് മറ്റൊരു ട്രസ്റ്റ്പോയിന്റ്, ഡിഫോൾട്ട് വെർച്വൽ ഹോസ്റ്റ്, അല്ലെങ്കിൽ ഐഡന്റിറ്റി ക്രമീകരിക്കാതെ പ്രാഥമികത്തിൽനിന്ന് പകർത്തിയ കോൺഫിഗറേഷൻ എന്നത്.

ഉത്തരം പിന്തുടരുക, അഭ്യർത്ഥന മാത്രമല്ല

രണ്ടാമത്തെ WAN സാധാരണയായി തിരികെയുള്ള വഴിയിൽ പൊട്ടുന്നു. അഭ്യർത്ഥന ISP B വഴി എത്തുന്നു, ഉപകരണം ഉത്തരം നൽകുന്നു, ഉത്തരം ISP A-യിലെ ഡിഫോൾട്ട് റൂട്ടിലൂടെ ക്ലയന്റ് ഒരിക്കലും ആവശ്യപ്പെടാത്ത ഉറവിട വിലാസവുമായി പുറത്തുപോകുന്നു. സ്റ്റേറ്റ്ഫുൾ വിവർത്തനം ഇത് കൂടുതൽ വഷളാക്കുന്നു: മാപ്പിംഗ് പ്രാഥമിക ഇന്റർഫേസിനായി നിർമ്മിച്ചതാണെങ്കിൽ, തിരികെ വരുന്ന പാക്കറ്റ് വിവർത്തനം നഷ്ടപ്പെടുന്നു അല്ലെങ്കിൽ ക്ലയന്റിന്റെ ഫയർവാൾ ഉപേക്ഷിക്കുന്ന ഉറവിടം വഹിക്കുന്നു. ദാതാക്കൾ അവർ നൽകിയ സർക്യൂട്ടിന് സ്വന്തമല്ലാത്ത ഉറവിട വിലാസങ്ങളും ഉപേക്ഷിക്കുന്നു, അതിനാലാണ് ഇത് വ്യക്തമായ പ്രോട്ടോക്കോൾ പിശകിന് പകരം ഏകദിശ കറുത്ത കുഴി പോലെ തോന്നുന്നത്.

രണ്ടാമത്തെ എൻട്രിയിൽനിന്ന് ഉത്ഭവിക്കുന്ന ട്രാഫിക്കിനുള്ള റൂട്ടിംഗ് തീരുമാനം പരിശോധിക്കുക. അഭ്യർത്ഥന എത്തിയ ഇന്റർഫേസിൽനിന്ന് ഉത്തരം പുറത്തുപോകണം, അല്ലെങ്കിൽ ആ പാതയുടേതായി വിദൂര വശം അംഗീകരിക്കുന്ന ഒരു വിലാസമെങ്കിലും വഹിക്കണം. പോളിസി റൂട്ടിംഗ് പ്ലാറ്റ്ഫോമുകളിൽ ഇത് ഇൻകമിംഗ് ഇന്റർഫേസിലോ വിവർത്തനം ചെയ്ത ഉറവിടത്തിലോ ബന്ധിച്ച ഒരു നിയമം, കൂടാതെ ഓരോ പുറം ഇന്റർഫേസിലും ബന്ധിച്ച ഒരു വിവർത്തന പ്രസ്താവന എന്നിവ അർത്ഥമാക്കുന്നു. ക്ലയന്റ് കണക്ട് ചെയ്യുമ്പോൾ രണ്ട് ഇന്റർഫേസുകളിലും ഒരേസമയം ക്യാപ്ചർ ചെയ്യുക; ISP B-യിൽ എത്തുന്ന SYN-ഉം ISP A-യിൽനിന്ന് പുറത്തുപോകുന്ന SYN-ACK-ഉം ഒരു ഓട്ടത്തിൽ തന്നെ പ്രശ്നം തീർക്കുന്നു.

രണ്ടാമത്തെ എൻട്രിയെക്കുറിച്ച് അറിയാൻ ക്ലയന്റിന് ഒരു വഴി നൽകുക

ഫെയിൽഓവർ ക്ലയന്റ് വശത്തുള്ള തീരുമാനമാണ്, ഓരോ ക്ലയന്റ് കുടുംബവും ബദലുകളെക്കുറിച്ച് വ്യത്യസ്തമായി അറിയുന്നു. ASA-യിൽ ബാക്കപ്പ് സെർവർ ലിസ്റ്റ് ഗ്രൂപ്പ് പോളിസിയുടെ webvpn ആട്രിബ്യൂട്ടുകളിലൂടെ നൽകുന്നു, മറ്റ് ക്ലയന്റുകൾ പ്രൊഫൈലിനുള്ളിൽ ഒരു ലിസ്റ്റോ ഉപയോക്താവ് തിരഞ്ഞെടുക്കുന്ന മാനുവൽ രണ്ടാമത്തെ പ്രൊഫൈലോ പ്രതീക്ഷിക്കുന്നു. Cisco-യുടെ കണക്ഷൻ പോളിസി ഗൈഡ് ക്ലയന്റിൽ ക്രമീകരിച്ചതും ഗേറ്റ്വേ നൽകുന്നതുമായ ബാക്കപ്പ് വിവരങ്ങൾ വിവരിക്കുന്നു, ആ പ്രോട്ടോക്കോൾ-നിർദ്ദിഷ്ട വിശദാംശങ്ങൾ എല്ലാ ക്ലയന്റിലേക്കും ടണൽ മോഡിലേക്കും പൊതുവാക്കരുത്. തെറ്റായ സംവിധാനത്തിന് ചുറ്റും രണ്ടാമത്തെ എൻട്രി നിർമ്മിക്കുന്നതിന് മുമ്പ് വിന്യസിച്ച ക്ലയന്റ് ഏത് സംവിധാനമാണ് നടപ്പിലാക്കുന്നതെന്ന് സ്ഥിരീകരിക്കുക.

സംവിധാനം എന്തായാലും, പ്രാഥമിക പാത നഷ്ടപ്പെടുന്നതിന് മുമ്പ് ബദൽ പേര് പരിഹരിക്കാൻ ക്ലയന്റിന് കഴിയണം. ആ ആശ്രിതത്വമാണ് ആളുകൾ വിട്ടുകളയുന്നത്: ബാക്കപ്പ് പേരിന് ഉത്തരം നൽകുന്നത് ഇപ്പോൾ പരാജയപ്പെട്ട ടണലിലൂടെ മാത്രം എത്താവുന്ന ഒരു റിസോൾവർ ആണെങ്കിൽ, ഫാൾബാക്കിന് തുടങ്ങാൻ പോലും കഴിയില്ല. രണ്ടാമത്തെ പേര് പ്രാദേശികമായോ ഇന്റർനെറ്റിലൂടെയോ ഉത്തരം നൽകുന്ന ഒരു റിസോൾവറിൽ പ്രസിദ്ധീകരിക്കുക. മാറ്റത്തിന് ശേഷം പുതിയ സാധൂകരണവും പുതിയ അപ്ലിക്കേഷൻ സെഷനും പ്രതീക്ഷിക്കുക, കാരണം ക്ലയന്റ് ഫെയിൽഓവർ സ്റ്റേറ്റ്ഫുൾ ഫെയിൽഓവർ അല്ല, ദീർഘകാല സെഷനുകൾ അതിനെ അതിജീവിക്കുന്നില്ല.

രണ്ട് ദാതാക്കളിൽ ഒരു വിലാസം മറ്റൊരു ഉൽപ്പന്നമാണ്

ഒരു പൊതു വിലാസം രണ്ട് സർക്യൂട്ടുകളിലൂടെയും എത്താവുന്നതായി നിലനിർത്തുന്നത് ഒരു റൂട്ടിംഗ് സേവനമാണ്, VPN-ലെ ഒരു ചെക്ക്ബോക്സ് അല്ല. രണ്ട് ദാതാക്കളും വഹിക്കാൻ തയ്യാറുള്ള ഒരു വിലാസ ഇടം വേണം, അവരുടെ നെറ്റ്വർക്കുകൾ സ്വീകരിക്കുന്ന രീതിയിൽ പ്രഖ്യാപിക്കണം, ദാതാവിൽനിന്ന് സ്വതന്ത്രമായ ഇടവും BGP-യും ഉള്ള മൾട്ടിഹോമിംഗ് അതാണ് നൽകുന്നത്. ISP A-യുടെ വിലാസം ISP B-യുടെ ഇന്റർഫേസിലേക്ക് നൽകുന്നത് അവിടെ എത്തിക്കുന്നില്ല; പാക്കറ്റ് ആ പ്രിഫിക്സ് ഒരിക്കലും പ്രഖ്യാപിക്കാത്ത ഒരു നെറ്റ്വർക്കിൽ എത്തി മുകളിൽ ഉപേക്ഷിക്കപ്പെടുന്നു.

രണ്ട് എൻട്രികൾ പ്രസിദ്ധീകരിക്കാൻ ഇവയൊന്നും ആവശ്യമില്ല. ക്ലയന്റിന് രണ്ട് പേരുകൾ സൂക്ഷിക്കാനും അവയ്ക്കിടയിൽ ഫെയിൽഓവർ ചെയ്യാനും കഴിയുമെങ്കിൽ രണ്ട് സ്വതന്ത്ര എൻട്രികൾ മതി, AS നമ്പറും പിയറിംഗ് കരാറും എല്ലായിടത്തും സ്വീകരിക്കേണ്ട ഒരു പ്രിഫിക്സും നിങ്ങൾ ഒഴിവാക്കുന്നു. മാറ്റാനായി ക്ലയന്റുകളെ പുനഃക്രമീകരിക്കാൻ കഴിയാത്ത ഒരു സ്ഥിരമായ പ്രവേശന കേന്ദ്രം യഥാർത്ഥത്തിൽ ആവശ്യമാകുമ്പോൾ മാത്രമോ, TTL കാലതാമസത്തോടെയുള്ള DNS അടിസ്ഥാനമാക്കിയ ഫെയിൽഓവർ നിങ്ങൾ രൂപകൽപ്പന ചെയ്യുന്ന തടസ്സത്തിന് വളരെ മന്ദഗതിയിലാകുമ്പോൾ മാത്രമോ പോർട്ടബിൾ വിലാസ ഓപ്ഷൻ പരിഗണിക്കുക.

അടുത്തതായി എന്ത് പരിശോധിക്കണം

പരാജയപ്പെട്ട എൻട്രിയിൽനിന്ന് പുറത്തേക്ക് ഈ ക്രമത്തിൽ പ്രവർത്തിക്കുക: രണ്ടാമത്തെ വിലാസം പുറത്തുനിന്ന് ഉത്തരം നൽകുന്നുണ്ടോ, ക്ലയന്റ് പ്രതീക്ഷിക്കുന്ന ഐഡന്റിറ്റി അവതരിപ്പിക്കുന്നുണ്ടോ, അഭ്യർത്ഥന വന്ന വഴിയിലൂടെ ഉത്തരം പുറത്തുപോകുന്നുണ്ടോ, ആവശ്യത്തിന് മുമ്പ് ക്ലയന്റിന് പേര് അറിയാൻ കഴിയുമോ എന്നിവ. ഉത്തരം ഇല്ല എന്നിടത്ത് ആ പാളി ശരിയാക്കി, ടെസ്റ്റ് ഹോസ്റ്റിന് പകരം വിന്യസിച്ച പ്രൊഫൈൽ ഉപയോഗിച്ച് വീണ്ടും പരീക്ഷിക്കുക, കാരണം ലബോറട്ടറിയിലെ ഹാൻഡ്ഷേക്ക് യഥാർത്ഥ ക്ലയന്റിന്റെ പൂർത്തിയായ കണക്ഷനെക്കാൾ കുറഞ്ഞത് തെളിയിക്കുന്നു.

ഓരോ WAN-നും വിലാസം, പോർട്ട്, അവസാനിപ്പിക്കുന്ന ഇന്റർഫേസ്, സർട്ടിഫിക്കറ്റിന്റെ പേര്, തിരികെയുള്ള പാത, വിവർത്തന നിയമം എന്നിവയുള്ള ഒരു ചെറിയ രേഖ സൂക്ഷിക്കുക, സർക്യൂട്ടോ NAT ഉപകരണമോ ക്ലയന്റ് പതിപ്പോ മാറുമ്പോൾ അത് വീണ്ടും പരിശോധിക്കുക. നിഷ്ക്രിയ ബാക്കപ്പ് പാതകൾ നിശബ്ദമായി ചീയുന്നു: ആരും ഉപയോഗിക്കാത്ത എൻട്രിയെക്കുറിച്ച് എല്ലാവരും അതിനെ ആശ്രയിക്കുന്ന ദിവസം വരെ ഒന്നും മുന്നറിയിപ്പ് നൽകുന്നില്ല.