Dua gateway IPsec tanpa IP dikongsi: apa yang failover sebenarnya lakukan

Matikan gateway A semasa mesyuarat dan tonton terowong kembali melalui B seminit kemudian; sambungan berfungsi, panggilan video mungkin tidak. Itulah bentuk jujur failover sejuk antara dua gateway IPsec dengan alamat bebas. Klien memilih semula titik akhir dan membina hubungan baharu, yang memulihkan ketercapaian tanpa memindahkan keadaan kriptografi sesi lama. Menelusuri urutan menjadikan jelas janji mana yang boleh ditepati oleh reka bentuk.

Sediakan pentas: dua alamat, tiada IP terapung

Gateway A menjawab pada satu alamat yang boleh dicapai dan gateway B pada alamat lain. Klien mempunyai cara yang diluluskan untuk memilih B apabila A tiada, dan tiada alamat luar dikongsi yang dituntut oleh kedua-dua gateway. Dalam reka bentuk ini, IP maya bermaksud titik masuk dikongsi itu, bukan alamat dalam yang diberikan kepada klien akses jauh.

Definisi itu penting kerana kedua-dua idea bercampur dalam tiket, dan pembetulan satu bukan pembetulan yang lain. Laporan bahawa pintu masuk dikongsi tidak mengikut gateway menggambarkan satu reka bentuk. Laporan bahawa komputer riba kehilangan alamat dalamnya menggambarkan pajakan klien. Pemilik berbeza, log berbeza, pembaikan berbeza.

Lalui kegagalan: kesan, kemudian pilih semula

Mula-mula sesuatu menyedari bahawa A berhenti menjawab. Itu boleh jadi pengesanan rakan mati pada lapisan terowong, protokol penghalaan yang menarik balik laluan, atau tamat masa aplikasi yang akhirnya memaksa sambungan semula. Setiap satu mempunyai skala masa berbeza, dan yang paling perlahan biasanya menentukan berapa lama pengguna menunggu.

Kemudian klien memilih B melalui mekanisme yang disokong oleh penggunaan: remote kedua yang dikonfigurasikan, nama DNS yang diselesaikan kepada alamat sihat, atau penghalaan yang kini mengutamakan laluan berbeza. Pemilihan ialah langkah dasar, dan ia mesti wujud sebelum kegagalan atau ia akan berlaku secara kebetulan.

Apa yang B boleh dan tidak boleh warisi

B boleh berkongsi templat konfigurasi, pihak berkuasa sijil dan dasar pengesahan dengan A. Ia tidak boleh mewarisi persatuan keselamatan yang hidup. Kunci sesi, indeks parameter keselamatan dan keadaan urutan milik hubungan yang dibina oleh A dan klien, dan B tidak mempunyai satu pun.

Memindahkan keadaan itu antara gateway ialah masalah kejuruteraan sebenar, sebab itu dokumentasi ketersediaan tinggi strongSwan menganggapnya sebagai reka bentuk kelompok dan bukan bendera konfigurasi. Resipi kelompok tertentu bukan jawapan umum untuk rangkaian awan, dan menyalinnya tanpa infrastruktur sokongan membeli kerumitan dan bukannya kesinambungan.

Mewujudkan hubungan baharu

Dengan B dipilih, klien melakukan pertukaran IKE baharu: nilai nonce baharu, nilai Diffie-Hellman baharu, pengecam baharu untuk persatuan yang terhasil. Pengesahan berlaku semula di B. Jika reka bentuk bergantung pada kelayakan mesin, sambungan semula boleh tanpa pengawasan; jika ia memerlukan faktor manusia, seseorang mesti hadir supaya failover selesai.

Tetapkan pengalaman pengguna itu sebelum gangguan, bukan semasanya. Katakan dengan jelas apa yang akan dilakukan klien, berapa lama ia mencuba dan apa yang akan ditunjukkannya apabila menyerah, kerana perbezaan antara seminit sambungan semula dan panggilan sokongan biasanya ialah dokumentasi dan profil yang diuji.

Mengekalkan alamat dalam yang sama membantu aplikasi yang menjangka identiti tempatan yang stabil, dan ia tidak mengekalkan sesi mereka. Ikatan NAT tamat tempoh, sambungan TCP ditetapkan semula dan apa-apa yang mempunyai tamat masanya sendiri memutuskan secara bebas sama ada untuk mencuba lagi.

Dua terowong selari ialah reka bentuk berbeza

Menjalankan kedua-dua terowong serentak ialah corak sah apabila kedua-dua gateway dan reka bentuk penghalaan menyokongnya. Pemilihan laluan kemudian memilih laluan aktif, dan laluan balik mesti bersetuju, atau trafik keluar melalui satu gateway dan kembali melalui gateway yang lain tanpa keadaan untuk memadankannya.

Dasar terowong yang bertindih tidak mencipta failover teratur dengan sendirinya. Ia mencipta dua calon, dan sesuatu mesti memutuskan antara mereka secara deterministik, sama ada metrik penghalaan, keutamaan dasar atau keutamaan eksplisit dalam klien.

Apa jua bentuk yang anda pilih, tuliskan kontraknya: bagaimana kegagalan dikesan, bagaimana alternatif dipilih, pengesahan apa yang diperlukan dan berapa lama sambungan semula dijangka mengambil masa. IP dikongsi boleh memudahkan penemuan, tetapi ia bukan sinonim keadaan berterusan, dan ketersediaan tetap satu reka bentuk.