Dua terowong IPsec aktif masih memerlukan pelan laluan balik

Buka terminal pada stesen kerja di satu tapak dan sambung ke pelayan di tapak lain. Perbualan TCP tunggal itu kini perlu melintasi empat get dan bukan dua, dan bahagian yang menarik bukanlah sama ada ia berfungsi pada hari yang baik. Bahagian yang menarik ialah pasangan get mana yang dipilih oleh arah hadapan, pasangan mana yang dipilih oleh balasan, dan siapa yang memegang keadaan aliran semasa itu berlaku. Tiada apa-apa dalam jadual penghalaan yang memutuskan perkara itu untuk anda.

Lukis empat get sebelum melukis laluan

Reka bentuk dwi-aktif dengan dua tembok api VPN bebas setiap tapak, satu pasangan setiap pembekal, memberi anda dua laluan yang boleh digunakan dan tiga cara untuk memecahkannya. Catat alamat sebelum mengkonfigurasi apa-apa: klien seperti yang dilihat sebelum dan selepas setiap get, pelayan begitu juga, hop seterusnya arah hadapan dan hop seterusnya arah balik.

Jadual itu ialah reka bentuknya. Segala-galanya selepas itu ialah persoalan sama ada peranti bersetuju dengan jadual itu.

Bagaimana laluan hadapan dipilih

Lapisan penghalaan berbilang laluan berkos sama menyebarkan aliran ke hop seterusnya dengan membuat cincangan medan pengepala, yang dijelaskan RFC 2992 secara terperinci. Pilihan itu boleh jadi tanpa keadaan sepenuhnya: ia tidak memerlukan entri penjejakan sambungan, hanya cincangan stabil pada medan yang tidak berubah. Kekalkan set laluan dan input cincangan malar, dan setiap paket aliran memilih hop seterusnya yang sama.

Pilihan setiap aliran mengelakkan penyusunan semula yang akan disebabkan oleh pengimbangan paket demi paket pada pautan dengan kelewatan berbeza. Ia tidak menjanjikan bahawa kos penghalaan yang sama bermakna kependaman yang diukur sama, kerana ia tidak. Dan apabila komposisi laluan berubah, aliran dipetakan semula, jadi kelangsungan sambungan semasa kegagalan ialah keperluan berasingan daripada pilihan laluan.

Apa yang sebenarnya diperlukan oleh laluan balik

Di sini perjalanan berhenti menjadi simetri. Cincangan hadapan yang stabil tidak memberitahu apa-apa tentang apa yang akan dilakukan tapak jauh dengan balasan itu. Jika tembok api bebas mesti melihat kedua-dua arah sambungan untuk mengekalkan keadaan yang berguna, laluan balik yang memintasnya meninggalkan trafik yang tidak sepadan dengan apa-apa. Dua kotak dengan set peraturan serupa bukan keadaan dikongsi.

Sahkan tingkah laku dua hala yang dilaksanakan, atau tulis dasar eksplisit yang mengekalkan sempadan yang diperlukan secara koheren. Tekaan di sini ditemui semasa gangguan, oleh orang yang tidak menikmatinya.

Di mana terjemahan memutuskan untuk anda

NAT ialah tuas yang lain, dan ia pilihan bukan wajib. Identiti terjemahan khusus laluan boleh mengarahkan balasan kembali ke get yang memegang keadaan, dan itu reka bentuk yang sah. Ia juga menambah pemetaan, laluan balik dan pemilik untuk keadaan itu, jadi terima bebannya hanya untuk keperluan yang boleh anda sebut dengan lantang.

Jika keperluannya hanya kedua-dua laluan membawa trafik dan mana-mana satu bertahan apabila pembekal hilang, berbilang laluan setiap aliran biasa dengan penghalaan balik yang koheren biasanya reka bentuk yang lebih kecil.

Lalui penerimaan mengikut urutan

Uji mengikut urutan ini dan catat alamat pada setiap langkah: sambungan baharu pada laluan A dan laluan balasannya, perkara sama pada laluan B, kemudian kehilangan satu pembekal, kemudian pemulihan. Bagi setiap hasil, catat aliran mantap mana yang bergerak, mana yang perlu menyambung semula dan ke mana aliran baharu pergi selepas itu. Tulis nilai jangkaan dahulu, kemudian bandingkannya dengan tangkapan. Dua terowong mantap tidak membuktikan apa-apa daripada itu.

Reka bentuk selesai apabila jadual yang anda tulis sepadan dengan apa yang ditunjukkan tangkapan, bukan apabila kedua-dua terowong menyala.