Хоёр IPsec гарц, нийтлэг IPгүй: бүтэлгүйтлийн үед шилжилт яг юу хийдэг

Хурлын үеэр A гарцыг унтрааж, нэг минутын дараа туннель B-ээр эргэж ирэхийг хар; холболт ажиллана, видео дуудлага ажиллахгүй байж магадгүй. Энэ бол бие даасан хаягтай хоёр IPsec гарцын хоорондох хүйтэн шилжилтийн шударга дүр төрх юм. Клиент төгсгөлийн цэгийг дахин сонгож, шинэ харилцаа байгуулдаг бөгөөд энэ нь хуучин сессийн криптограф төлөвийг шилжүүлэхгүйгээр хүртээмжийг сэргээдэг. Дарааллыг дагах нь загвар ямар амлалтуудыг биелүүлж чадахыг тодорхой болгоно.

Тайзыг бэлтгэ: хоёр хаяг, хөвөгч IP байхгүй

A гарц нэг хүртээмжтэй хаягаар хариулдаг, B гарц нөгөөгөөр. A алга болоход B-г сонгох зөвшөөрөгдсөн арга клиентэд байгаа бөгөөд хоёр гарц хоёулаа шаарддаг нийтлэг гадаад хаяг байхгүй. Энэ загварт виртуал IP нь тэр нийтлэг орох цэгийг илэрхийлнэ, алсын хандалтын клиентэд олгосон дотоод хаягийг биш.

Энэ тодорхойлолт чухал, учир нь хоёр санаа тасалбаруудад холилдож, нэгний засвар нөгөөгийн засвар биш юм. Нийтлэг орох хэсэг гарцыг дагаагүй гэсэн тайлан нэг загварыг дүрсэлдэг. Зөөврийн компьютер дотоод хаягаа алдсан гэсэн тайлан клиентийн түрээсийг дүрсэлдэг. Өөр эзэд, өөр бүртгэл, өөр засвар.

Алдааг туул: илрүүл, дараа нь дахин сонго

Эхлээд ямар нэг зүйл A хариу өгөхөө больсныг анзаардаг. Энэ нь туннелийн давхаргад үхсэн түншийг илрүүлэх, замыг буцааж татдаг маршрутжуулалтын протокол, эсвэл эцэст нь дахин холбогдохыг албаддаг програмын хугацаа дуусах байж болно. Тус бүр өөр цаг хугацааны хуваарьтай бөгөөд хамгийн удаан нь ихэвчлэн хэрэглэгчид хэр удаан хүлээхийг тодорхойлдог.

Дараа нь клиент байршуулалтын дэмждэг механизмаар B-г сонгоно: хоёр дахь тохируулсан алсын цэг, эрүүл хаяг руу шийдэгдсэн DNS нэр, эсвэл одоо өөр замыг илүүд үздэг маршрутжуулалт. Сонголт бол бодлогын алхам бөгөөд алдаанаас өмнө байх ёстой, эс тэгвээс санамсаргүйгээр тохиолдоно.

B юуг өвлөж чадах, юуг чадахгүй

B нь A-тай тохиргооны загвар, гэрчилгээний байгууллага, баталгаажуулалтын бодлогыг хуваалцаж болно. Амьд аюулгүй байдлын холбоодыг өвлөж чадахгүй. Сессийн түлхүүр, аюулгүй байдлын параметрийн индекс, дарааллын төлөв нь A болон клиентийн байгуулсан харилцаанд хамаарах бөгөөд B-д тэдгээрийн нэг ч байхгүй.

Тэр төлөвийг гарцуудын хооронд зөөх нь бодит инженерийн асуудал тул strongSwan-ийн өндөр хүртээмжийн баримт бичиг үүнийг тохиргооны туг биш, кластерийн загвар гэж үздэг. Тодорхой кластерийн жор нь үүлэн сүлжээнд ерөнхий хариулт биш бөгөөд түүнийг дэмжих дэд бүтэцгүйгээр хуулах нь тасралтгүй байдлын оронд нарийн төвөгтэй байдлыг худалдаж авдаг.

Шинэ харилцаа тогтоох

B сонгогдсоны дараа клиент шинэ IKE солилцоо хийнэ: шинэ nonce утгууд, шинэ Diffie-Hellman утгууд, үүсэх холбоодын шинэ танигчид. Баталгаажуулалт дахин B дээр явагдана. Загвар машины итгэмжлэлд тулгуурладаг бол дахин холбогдох нь хяналтгүй байж болно; хүний хүчин зүйл шаарддаг бол шилжилтийг дуусгахад хэн нэгэн оролцох ёстой.

Тэр хэрэглэгчийн туршлагыг тасалдлаас өмнө тодорхойл, тасалдлын үеэр биш. Клиент юу хийх, хэр удаан оролдох, бууж өгөхдөө юу харуулахыг тодорхой хэл, учир нь нэг минутын дахин холболт ба дэмжлэгийн дуудлагын ялгаа ихэвчлэн баримт бичиг, туршсан профайл юм.

Ижил дотоод хаягийг хадгалах нь тогтвортой орон нутгийн таних тэмдэг хүлээдэг програмуудад тусалдаг бөгөөд тэдний сессийг хадгалдаггүй. NAT холболтууд дуусч, TCP холболтууд дахин тохируулагдаж, өөрийн хугацаа дуусах хугацаатай бүхэн дахин оролдох эсэхийг бие даан шийддэг.

Зэрэгцээ хоёр туннель бол өөр загвар

Хоёр туннелийг нэгэн зэрэг ажиллуулах нь хоёр гарц болон маршрутжуулалтын загвар дэмждэг үед хүчинтэй хэв маяг юм. Тэгвэл маршрутын сонголт идэвхтэй замыг сонгож, буцах зам тохирох ёстой, эс тэгвээс урсгал нэг гарцаар гарч нөгөөгөөр эргэж ирнэ, түүнийг тохируулах төлөвгүйгээр.

Давхардсан туннелийн бодлогууд өөрсдөө эмх цэгцтэй шилжилт үүсгэдэггүй. Тэд хоёр нэр дэвшигч үүсгэдэг бөгөөд тэдний хооронд ямар нэг зүйл детерминит байдлаар шийдэх ёстой: маршрутын метрик, бодлогын тэргүүлэх чиглэл эсвэл клиент дэх тодорхой сонголт.

Ямар хэлбэр сонгосон ч гэрээг бич: алдааг хэрхэн илрүүлэх, орлуулагчийг хэрхэн сонгох, түүнд ямар баталгаажуулалт шаардагдах, дахин холбогдоход хэр их хугацаа шаардагдана гэж хүлээж байна. Нийтлэг IP илрүүлэлтийг хялбарчилж болох ч энэ нь тасралтгүй төлөвийн ижил утга биш бөгөөд хүртээмж ямар ч тохиолдолд загвар юм.