Kif tibni politika tal-failover tal-VPN fuq ir-router mingħajr tnixxijiet
Iddeċiedi x'għandu jagħmel it-traffiku meta l-mina preferuta taqa': mina ta' riżerva, WAN normali jew imblukkar. Imbagħad ibnieha u ttestjaha fuq ir-router.
Il-failover ħadem eżattament kif kien ikkonfigurat, u dan kien il-problema. Meta waqgħet il-mina primarja, ir-router mexxa r-rotta default lejn il-modem tal-kejbil, il-laptops komplew jibbrawżjaw, u ħadd ma ċempel. Jumejn wara xi ħadd induna li l-folder tal-finanzi maqsum kien aċċessibbli mit-triq miftuħa tal-internet għal sitt sigħat. Politika tal-failover tal-VPN fuq ir-router mhijiex trick tal-routing; hija deċiżjoni dwar x'għandu jagħmel it-traffiku meta t-triq preferuta ma tibqax hemm, u dik id-deċiżjoni trid teżisti qabel ma tgħib it-triq.
Iddeċiedi r-riżultat qabel tagħżel id-ditektif
Normalment hemm tliet riżultati fuq il-mejda: tibgħat il-klijenti milquta permezz ta' mina ta' riżerva, tħallihom jużaw il-WAN normali, jew timblokkjahom għal kollox. Ikteb liema japplika għal liema VLAN, SSID jew klassi ta' apparat. Regola waħda ċatta “aqleb għall-WAN” hija r-raġuni għaliex il-folder tal-finanzi hawn fuq spiċċa fuq triq pubblika.
Dawn it-tlieta mhumiex interkambjabbli. Il-fallback għall-WAN iżomm id-desk tal-appoġġ iwieġeb it-telefonati filwaqt li jesponi ismijiet interni lir-resolver lokali. Mina ta' riżerva tippreserva l-politika iżda tista' tinżel fuq indirizz tal-ħruġ li n-naħa l-oħra ma taċċettax. L-imblukkar huwa korrett għal VLAN tal-pagi u żbaljat għal netwerk tal-mistiedna li qatt ma uża l-mina.
| Riżultat | Adatt għal | X'jinqasam |
|---|---|---|
| Mina ta' riżerva | Il-politika trid iżżomm, hemm bżonn aċċess mill-bogħod | Indirizz tal-ħruġ ġdid, rotta tar-ritorn, tiġdid tal-muftieħ aktar bil-mod |
| WAN normali | Traffiku tal-mistiedna jew pubbliku biss | Ismijiet interni, espożizzjoni tad-DNS u IPv6 |
| Imblukkar | Pagi, amministrazzjoni, kull ħaġa biss-VPN | L-utenti jitilfu l-aċċess kollu u jċemplulek |
Qabbel id-ditektif mal-falliment li tabilħaqq tibża' minnu
L-istat tal-handshake, l-istat tal-interface u l-forwarding li jintuża huma tliet sinjali differenti, u għall-utent jgħodd biss l-aħħar wieħed. Peer WireGuard jista' juri handshake riċenti filwaqt li l-upstream tal-fornitur qed jitfa' pakketti f'toqba sewda. OpenVPN il-klijent jista' joqgħod fuq “konness” wara li r-rotta li mbotta waqfet tiġi riżolta.
Fuq pfSense l-arranġament prattiku huwa grupp ta' gateways imħaddem minn dpinger, li jipprova indirizz ta' monitoraġġ u jimmarka gateway bħala mitfi meta t-telf jew il-latenza jaqbżu l-limiti tiegħu. Ipponta dak il-monitoraġġ lejn xi ħaġa lil hinn mill-mina, bħal host fuq il-LAN imbiegħed jew indirizz pubbliku li tasal għalih permezz tagħha. Li tippontah lejn l-indirizz tal-peer tal-mina stess ikejjel il-parti li diġà taf li hija ħajja.
Ibni l-grupp sabiex ir-riżerva tibqa' l-aħħar għażla
Uża livelli minflok lista waħda ċatta ta' membri. Primarju fil-livell 1, mina ta' riżerva fil-livell 2, WAN fil-livell 3 biss għall-VLAN li l-politika tagħhom tippermetti. Fuq pfSense dan jinsab taħt System > Routing > Gateway Groups: żid iż-żewġ gateways, agħtihom livelli differenti, issettja Trigger Level għal member down plus packet loss, issalva, u mbagħad applika l-grupp bħala l-default tal-interface jew fil-qasam Gateway tar-regoli tal-firewall li jeħtieġuh.
Għal istanza tal-klijent OpenVPN fuq pfSense 2.5 u aktar ġodda, is-setting Default Gateway tal-istanza jiddeċiedi jekk il-mina tissostitwixxix ir-rotta default tas-sistema xejn. Ir-routing tal-politika b'regola jġib ruħu kif tistenna biss meta r-rotta li qed tassumi teżisti tkun tassew installata. Iċċekkja Status > Gateways wara l-bidla minflok tafda l-ikona tal-istat tal-mina.
Żewġ settings jikkawżaw il-biċċa l-kbira tal-flapping. Waħda hija intervall ta' prova iqsar mill-konverġenza mill-ġdid tal-fornitur stess. L-oħra hija grupp fejn il-primarju u r-riżerva jaqsmu livell, sabiex it-tnejn jibqgħu eliġibbli l-ħin kollu. Żid histeresi permezz ta' limiti tat-telf u tal-latenza qabel l-utenti tiegħek iħossu t-transizzjonijiet minflokok.
Agħlaq it-toroq li l-mina qatt ma kellha
L-ewwel tnixxijiet tad-DNS. Ir-resolver ikompli jwieġeb fuq il-WAN u jgħaddi 'l barra minnha, għalhekk l-ismijiet ikomplu jiġu riżolti permezz tal-ISP filwaqt li t-traffiku jkun imsammar mal-mina. Illimita l-interfaces tal-ħruġ tar-resolver, imbotta r-resolver intern lejn il-klijenti, u imblokka l-port 53 għal kull ħaġa oħra fuq il-VLAN biss-VPN.
IPv6 jeħtieġ deċiżjoni tiegħu. LAN b'żewġ stacks jista' jitlef il-mina u jżomm rotta default globali IPv6 li taħdem, għalhekk il-browsers jippreferu IPv6 u joħorġu mill-WAN filwaqt li IPv4 jidher kompletament magħluq. Jew irrutta IPv6 fil-mina jew waqqaf milli tħabbar prefiss globali waqt li l-mina tkun mitfija. Nofs politika hija agħar minn xejn, għax tidher li taħdem.
Imbagħad it-triq tar-ritorn. Jekk il-ħruġ tar-riżerva juża indirizz tas-sors differenti, in-naħa l-oħra trid tkun taf kif tibgħat it-traffiku lura, u kull stat marbut mal-indirizz il-qadim diġà mejjet. Is-sessjonijiet miftuħa meta waqa' l-primarju ma jimmigrawx; jieqfu sakemm jiskadu u l-applikazzjoni tiddeċiedi x'jagħmel.
Ittestja l-waqgħa, il-flapping u t-triq lura
Iġbed il-primarju b'traffiku bla ħsara għaddej, imbagħad aqra erba' affarijiet: Status > Gateways għall-istati tal-membri tal-grupp, pfctl -ss għall-istati għadhom imsammra mal-gateway il-qadim, traceroute minn klijent għat-triq tal-ħruġ, u mistoqsija lir-resolver biex tara liema server wieġeb.
Issa ġġagħalha tħabbat. Tellgħa l-primarju għal tletin sekonda, niżżilha tletin, darbtejn. Jekk it-traffiku jiġri wara kull transizzjoni, il-limiti huma wisq stretti jew il-livelli huma ħżiena. Sewwi dan skont l-iskeda tiegħek, għax inkella fornitur jagħmilha skont tiegħu.
Fl-aħħar, ikkonferma li għadek tista' tamministra r-router. Żomm triq barra mill-banda bħal kejbil tal-console, VLAN tal-ġestjoni jew modem ċellulari. Test tal-failover li jissakkar barra huwa test li ma tistax tlesti, u router li ma jintlaħaqx ma jistax jerġa' lura waħdu.
Qabel ma tgħid li l-politika hija lesta, għandek tkun kapaċi twieġeb erba' mistoqsijiet mingħajr ma tiftaħ terminal: liema VLAN jistgħu jużaw il-WAN waqt li l-mina tkun mitfija, x'qed jgħasses id-ditektif u kemm jistenna, liema servers tal-ismijiet u rotot IPv6 jiċċaqilqu mat-triq, u kif terġa' tidħol jekk tfalli wkoll ir-riżerva. Jekk xi tweġiba hija “inkella x'kien id-default”, il-politika għadha tar-router u mhux tiegħek.