pfSense дээр OpenVPN-ийн гурван төрлийн шилжилт, гурван механизм

pfSense дээрх „OpenVPN failover“ нь дор хаяж гурван харилцан хамааралгүй загварыг хамардаг бөгөөд тус бүр нь өөр механизм шаарддаг. Туннелийг нөөц интернэт холболтоор амьд байлгах, өөр серверт дахин холбогдох, LAN трафикийг өөр аль хэдийн суурилуулсан туннель руу чиглүүлэх нь нэг функцийн хувилбар биш юм. Гарцын бүлэг барихаас өмнө ямар гэмтлээс хамгаалж байгаагаа сонгоорой. Нэгийг нь засдаг бүлэг нөгөө хоёрт юу ч хийдэггүй.

Бүлэг барихаас өмнө гэмтлийг нэрлээрэй

Тасралтын үед үнэн байхыг хүсч буй өгүүлбэрээ бичээрэй. „Туннель нөөц WAN-аар дахин холбогдоно“ ба „салбар нь програмыг нөгөө туннелээр үргэлжлүүлэн хүрнэ“ гэдэг нь өөр өгүүлбэр юм. Зөвхөн эхнийх нь тээврийн тухай.

Дараа нь үүнийг механизмтай тааруулаарай. Орон нутгийн WAN алдагдах нь интерфэйс сонголтын асуудал, үхсэн алсын төгсгөлийн цэг нь холболтын жагсаалтын асуудал, харин суурилуулсан туннелийн доторх ашиглах боломжгүй зам нь чиглүүлэлт ба бодлогын асуудал юм.

Орон нутгийн WAN: тээврийг зөөх

pfSense OpenVPN клиентийн хувьд дэмжигддэг олон WAN зохицуулалт нь клиент холбогдох интерфэйс болгон тохирох гарцын бүлгийг сонгодог. Үндсэн холболт бүтэлгүйтэхэд гадаад холболтыг нөөц шугамаар гаргах боломжийг олгодог нь яг энэ юм. Энэ нь дангаараа дотоод трафикийг хэрхэн чиглүүлэхийг өөрчлөхгүй.

Мөн загварын сервер тал нь тусдаа. Хэд хэдэн нийтийн хаягаар хүрэх боломжтой байх ёстой OpenVPN серверт эдгээр бичлэг бүрд сонсогч ба оролтын бодлого хэрэгтэй, зөвхөн хоёр шугамаар дугаарлах чадвартай клиент биш. Ажиллаж буй нэг нийтийн бичлэг нь хоёр дахь нь тохируулагдсаны баталгаа биш.

Дамжуулсан LAN пакетийн бодлогод суурилсан чиглүүлэлтийн дүрэм нь орон нутгийн хэмжээнд үүсгэсэн VPN тээврийн холболтыг зөөдөг тохиргоо биш юм. Эдгээр нь хоёр өөр хайлт бөгөөд нэгийг өөрчлөх нь нөгөөг өөрчлөхгүй.

Алсын төгсгөлийн цэг: өөр сервер

Өөр remote нь холболтын жагсаалтын функц юм. Клиент одоогийн бичлэг хариу өгөхгүй үед дараагийнхыг оролддог бөгөөд энэ нь тодорхой хост унасан үед ашигтай, өөрийн дээд холболт унасан үед биш. Хоёр гэмтэл хэрэглэгчийн ширээнээс ижил харагдах бөгөөд өөр засвар шаарддаг.

Кандидат бүр жинхэнэ орлуулагч байх ёстой: тохирох баталгаажуулалт, тохирох клиентийн бодлого, ижил хувийн нөөцүүдэд хандах эрх. Ижил эвдэрсэн дэд бүтэц рүү шийдэгддэг хоёр дахь хост нэр нь нөөц биш. Шаардлагатай маршрутгүй сервер ч мөн биш, гар барилт нь хичнээн эрүүл харагдавч.

Энэ механизм нь хоёр туннелийг зэрэг дамжуулахыг мөн хийдэггүй. Нэг холболтыг нөгөөгөөр дараалан сольдог бөгөөд тэдгээрийн хоорондын завсар нь ажиллаж байсан бүхэнд харагдана.

Туннелийн зам: өөр гарах гарц сонгох

Хоёр туннель аль хэдийн боссон ба трафик илүү эрүүлхийг ашиглах ёстой бол механизм нь өөрийн гарцтай томилогдсон VPN интерфэйс бөгөөд зөв трафикийг тийш илгээдэг тодорхой бодлогын дүрэм юм. Эдгээр томилогдсон интерфэйс дээрх гарцын бүлэг нь эрэмбэ ба хяналтыг илэрхийлж чадна.

Энэ загвар нь сонголтын тухай, сэргээлтийн тухай биш. Шинэ холболтыг хоёр дахь туннель руу зөөх нь эхний дээр аль хэдийн тогтоосон сессүүдийн тухай юу ч хэлэхгүй, эсрэг тал шинэ эх хаягийг хүлээж авах эсэхийн тухай ч юу ч хэлэхгүй. Үүнийг сэргээлтийн механизм гэж үзэх нь хүлээлтийг хэт өндөрт тавих арга юм.

Хэрэв шаардлага нь одоо байгаа сессүүд амьд үлдэх бол түүнийгээ тодорхой хэлээрэй. Ихэнх хэрэгжүүлэлт амьд урсгалыг туннель хооронд шилжүүлдэггүй бөгөөд шилжүүлдэг мэт загварчлах нь диаграм дээр зөв харагдах боловч практикт бүх нээлттэй холболтыг унагадаг шилжилтийг бий болгодог.

Хянагч, NAT ба fail-closed дүрэм

Хянагч нь туннель хүргэх ёстой зүйлийг шалгах ёстой. Туннелийн хамтрагчаас хариу өгдөг ч түүний ард байгаа програмын сүлжээнээс өгдөггүй бай нь хэрэглэгчид юу ч харахгүй байхад эрүүл гэж мэдээлнэ. Хүрэх боломжгүй оношилгооны бай нь зам хэвийн байхад үхсэн гэж мэдээлнэ. Хаягийг санаатай сонгож, зөвхөн зориулсан туннелээр хүрэх боломжтойг баталгаажуулаарай.

Хоёр гарах гарцын хувьд гадагш чиглэсэн NAT-ыг шалгаарай. Үндсэн дээр ажиллаж буй хөрвүүлэлт нь нөөцийн эх хаягийг тодорхойлохгүй бөгөөд алсын хувийн сүлжээнд таны танилцуулж буй эх сурвалжтай тохирох буцах маршрут хэрэгтэй. Нэг зам дээр зөв хөрвүүлэлт нөгөө дээр чимээгүйхэн буруу байж болно.

Дараа нь WAN-ыг хэзээ ч ашиглах ёсгүй трафикт юу тохиолдохыг шийдээрэй. pfSense нь сонгосон гарц нь унасан дүрмүүдэд тодорхойлогдсон зан төлөвтэй бөгөөд дараагийн өргөн зөвшөөрлийн дүрэм эсвэл анхдагч маршрут таны санааг хүчингүй болгож болно. Хаагдсан үр дүнг шаардлага болгон бичээд, замыг унагаж шалгаарай.

Алдагдал ба сэргээлтийг тусад нь, үүсгэх эрхтэй трафикаар туршиж, нэгэн зэрэг гурван зүйлийг ажиглаарай: гадаад холболтыг зөөж буй WAN, програмын хүсэлтийг зөөж буй туннель, хариу авч буй зам. Хос ногоон гарцын үзүүлэлт нь тэр гурвын нэг биш. Netgate-ийн олон WAN гарын авлага нь үүний үндэс болсон тээврийн холболт ба экспортолсон клиентийн хувилбаруудыг тайлбарладаг.