Cara membina dasar failover VPN pada penghala tanpa kebocoran

Failover berfungsi tepat seperti yang dikonfigurasikan, dan itulah masalahnya. Apabila terowong utama gagal, penghala memindahkan laluan lalai ke modem kabel, komputer riba terus melayari, dan tiada siapa yang menelefon. Dua hari kemudian seseorang menyedari bahawa folder kewangan yang dikongsi boleh dicapai melalui laluan internet terbuka selama enam jam. Dasar failover VPN pada penghala bukan helah penghalaan; ia adalah keputusan tentang apa yang perlu dilakukan oleh trafik apabila laluan pilihan tiada, dan keputusan itu mesti wujud sebelum laluan itu hilang.

Tentukan hasilnya sebelum anda memilih pengesan

Biasanya terdapat tiga hasil di atas meja: menghantar klien terjejas melalui terowong sandaran, membiarkan mereka menggunakan WAN biasa, atau menyekat mereka sepenuhnya. Tuliskan yang mana terpakai untuk VLAN, SSID atau kelas peranti yang mana. Satu peraturan rata “tukar ke WAN” ialah sebab folder kewangan di atas berakhir di laluan awam.

Ketiga-tiganya tidak boleh saling menggantikan. Fallback WAN mengekalkan meja sokongan menjawab panggilan sambil mendedahkan nama dalaman kepada penyelesai tempatan. Terowong sandaran mengekalkan dasar tetapi mungkin mendarat di alamat keluar yang tidak diterima oleh pihak lain. Menyekat adalah betul untuk VLAN gaji dan salah untuk rangkaian tetamu yang tidak pernah menggunakan terowong.

Padankan pengesan dengan kegagalan yang anda benar-benar takuti

Keadaan jabat tangan, keadaan antara muka dan penghantaran yang boleh digunakan ialah tiga isyarat berbeza, dan hanya yang terakhir penting kepada pengguna. Rakan WireGuard boleh menunjukkan jabat tangan baru sementara huluan penyedia membuang paket ke lubang hitam. OpenVPN klien boleh kekal di “bersambung” selepas laluan yang didorongnya berhenti diselesaikan.

Pada pfSense susunan praktikal ialah kumpulan gateway yang diberi makan oleh dpinger, yang menyiasat alamat pemantauan dan menandakan gateway sebagai mati apabila kehilangan atau kependaman melepasi ambangnya. Halakan pemantauan itu ke sesuatu di luar terowong, seperti hos di LAN jauh atau alamat awam yang anda capai melaluinya. Menghalakannya ke alamat rakan terowong itu sendiri mengukur bahagian yang anda sudah tahu hidup.

Bina kumpulan supaya sandaran kekal sebagai pilihan terakhir

Gunakan peringkat dan bukannya satu senarai ahli rata. Utama dalam peringkat 1, terowong sandaran dalam peringkat 2, WAN dalam peringkat 3 hanya untuk VLAN yang dasarnya membenarkan. Di pfSense ini terletak di bawah System > Routing > Gateway Groups: tambah kedua-dua gateway, beri mereka peringkat berbeza, tetapkan Trigger Level kepada member down plus packet loss, simpan, kemudian gunakan kumpulan sebagai lalai antara muka atau dalam medan Gateway peraturan tembok api yang memerlukannya.

Untuk instans klien OpenVPN pada pfSense 2.5 dan lebih baharu, tetapan Default Gateway instans menentukan sama ada terowong menggantikan laluan lalai sistem sama sekali. Penghalaan dasar mengikut peraturan hanya berkelakuan seperti yang anda jangkakan apabila laluan yang anda andaikan benar-benar dipasang. Semak Status > Gateways selepas perubahan dan bukannya mempercayai ikon status terowong.

Dua tetapan menyebabkan kebanyakan kerdipan. Satu ialah selang siasatan yang lebih pendek daripada penumpuan semula penyedia sendiri. Satu lagi ialah kumpulan di mana utama dan sandaran berkongsi peringkat, jadi kedua-duanya kekal layak sepanjang masa. Tambah histeresis melalui ambang kehilangan dan kependaman sebelum pengguna anda merasai peralihan itu bagi pihak anda.

Tutup laluan yang tidak pernah dimiliki oleh terowong

Pertama kebocoran DNS. Penyelesai terus menjawab di WAN dan memajukan keluar daripadanya, jadi nama terus diselesaikan melalui ISP sementara trafik dipaku pada terowong. Hadkan antara muka keluar penyelesai, tolak penyelesai dalaman kepada klien, dan sekat port 53 untuk semua yang lain pada VLAN khusus-VPN.

IPv6 memerlukan keputusannya sendiri. LAN dua tindanan boleh kehilangan terowong dan mengekalkan laluan lalai IPv6 global yang berfungsi, jadi pelayar lebih suka IPv6 dan keluar melalui WAN sementara IPv4 kelihatan terkawal sepenuhnya. Sama ada halakan IPv6 ke dalam terowong atau berhenti mengiklankan awalan global semasa terowong mati. Separuh dasar lebih buruk daripada tiada, kerana ia kelihatan berfungsi.

Kemudian laluan balik. Jika keluar sandaran menggunakan alamat sumber berbeza, pihak lain mesti tahu cara menghantar trafik kembali, dan setiap keadaan yang terikat pada alamat lama sudah mati. Sesi yang terbuka semasa utama gagal tidak berhijrah; ia terhenti sehingga tamat tempoh dan aplikasi memutuskan apa yang perlu dilakukan.

Uji kejatuhan, kerdipan dan jalan masuk semula

Tarik keluar utama dengan trafik tidak berbahaya berjalan, kemudian baca empat perkara: Status > Gateways untuk keadaan ahli kumpulan, pfctl -ss untuk keadaan yang masih dipaku pada gateway lama, traceroute dari klien untuk laluan keluar, dan pertanyaan penyelesai untuk melihat pelayan mana yang menjawab.

Sekarang kerdipkan. Naikkan utama selama tiga puluh saat, turunkan tiga puluh, dua kali. Jika trafik mengejar setiap peralihan, ambang terlalu ketat atau peringkat salah. Betulkan mengikut jadual anda, kerana jika tidak penyedia akan melakukannya mengikut jadual mereka.

Akhir sekali, sahkan anda masih boleh mentadbir penghala. Kekalkan laluan luar jalur seperti kabel konsol, VLAN pengurusan atau modem selular. Ujian failover yang mengunci anda di luar ialah ujian yang tidak dapat anda selesaikan, dan penghala yang tidak dapat dicapai tidak boleh kembali sendiri.

Sebelum mengisytiharkan dasar selesai, anda sepatutnya boleh menjawab empat soalan tanpa membuka terminal: VLAN mana yang boleh menggunakan WAN semasa terowong mati, apa yang diawasi oleh pengesan dan berapa lama ia menunggu, pelayan nama dan laluan IPv6 mana yang bergerak bersama laluan, dan bagaimana anda masuk semula jika sandaran juga gagal. Jika mana-mana jawapan ialah “apa sahaja nilai lalai dahulu”, dasar itu masih milik penghala dan bukan anda.