Żewġ gateways IPsec bla IP kondiviża: x'jagħmel tassew il-failover

Issejjah gateway A waqt laqgħa u ara t-tunnel jerġa' lura permezz ta' B minuta wara; il-konnessjoni taħdem, il-vidjokonferenza forsi le. Din hija l-forma onesta tal-failover kiesaħ bejn żewġ gateways IPsec b'indirizzi indipendenti. Il-klijent jerġa' jagħżel punt tat-tmiem u jibni relazzjoni ġdida, li terġa' tistabbilixxi l-aċċessibilità mingħajr ma tittrasferixxi l-istat kriptografiku tas-sessjoni l-antika. Li timxi mal-sekwenza juri b'mod ċar liema wegħdiet id-disinn jista' jżomm.

Ipprepara x-xena: żewġ indirizzi, l-ebda IP f'wiċċ l-ilma

Gateway A jwieġeb fuq indirizz wieħed aċċessibbli u gateway B fuq ieħor. Il-klijent għandu mod approvat kif jagħżel B meta A ma jkunx hemm, u m'hemmx indirizz estern kondiviż li ż-żewġ gateways jitolbu. F'dan id-disinn, IP virtwali tfisser dak il-punt tad-dħul kondiviż, mhux l-indirizz intern mogħti lill-klijent tal-aċċess mill-bogħod.

Din id-definizzjoni hija importanti għax iż-żewġ ideat jitħalltu fil-biljetti, u t-tiswija ta' waħda mhijiex it-tiswija tal-oħra. Rapport li d-dħul kondiviż ma segwiex il-gateway jiddeskrivi disinn wieħed. Rapport li l-laptop tilef l-indirizz intern tiegħu jiddeskrivi l-kiri tal-klijent. Sidien differenti, logs differenti, tiswijiet differenti.

Għaddi mill-falliment: iddetermina, imbagħad erġa' agħżel

L-ewwel xi ħaġa tinnota li A waqaf iwieġeb. Dan jista' jkun skoperta ta' sieħeb mejjet fil-livell tat-tunnel, protokoll ta' routing li jirtira rotta, jew timeout ta' applikazzjoni li fl-aħħar iġiegħel konnessjoni mill-ġdid. Kull wieħed għandu skala ta' żmien differenti, u l-iktar bil-mod normalment jiddetermina kemm jistennew l-utenti.

Imbagħad il-klijent jagħżel B permezz ta' kwalunkwe mekkaniżmu li jappoġġja l-iskjerament: it-tieni remote konfigurat, isem DNS riżolt għal indirizz b'saħħtu, jew routing li issa jippreferi triq differenti. L-għażla hija pass politiku, u trid teżisti qabel il-falliment altrimenti sseħħ b'inċident.

X'jista' u x'ma jistax jiret B

B jista' jaqsam ma' A mudell ta' konfigurazzjoni, awtorità taċ-ċertifikati u politika ta' awtentikazzjoni. Ma jistax jiret l-assoċjazzjonijiet tas-sigurtà ħajjin. Iċ-ċwievet tas-sessjoni, l-indiċi tal-parametri tas-sigurtà u l-istat tas-sekwenza jappartjenu għar-relazzjoni li bnew A u l-klijent, u B m'għandux wieħed minnhom.

It-tmexxija ta' dak l-istat bejn il-gateways hija problema reali tal-inġinerija, għalhekk id-dokumentazzjoni tal-strongSwan dwar disponibilità għolja tittrattaha bħala disinn ta' cluster u mhux bħala bandiera ta' konfigurazzjoni. Riċetta partikolari ta' cluster mhijiex tweġiba ġenerali għal netwerk tal-cloud, u li tikkupjaha mingħajr l-infrastruttura ta' appoġġ tixtri kumplessità minflok kontinwità.

Jistabbilixxi relazzjoni ġdida

B magħżul, il-klijent iwettaq skambju IKE ġdid: valuri nonce ġodda, valuri Diffie-Hellman ġodda, identifikaturi ġodda għall-assoċjazzjonijiet li jirriżultaw. L-awtentikazzjoni sseħħ mill-ġdid f'B. Jekk id-disinn jiddependi fuq kredenzjali tal-magna, il-konnessjoni mill-ġdid tista' tkun mingħajr superviżjoni; jekk teħtieġ fattur uman, xi ħadd irid ikun preżenti biex il-failover ikun komplut.

Iddefinixxi dik l-esperjenza tal-utent qabel it-tfixkil, mhux waqt. Għid b'mod ċar x'se jagħmel il-klijent, kemm se jipprova u x'se juri meta jaqta' qalbu, għax id-differenza bejn minuta ta' konnessjoni mill-ġdid u telefonata ta' appoġġ normalment hija dokumentazzjoni u profil ittestjat.

Li tinżamm l-istess indirizz intern jgħin lill-applikazzjonijiet li jistennew identità lokali stabbli, u ma jżommx is-sessjonijiet tagħhom. L-irbit NAT jiskadi, il-konnessjonijiet TCP jiġu resetjati, u kull ħaġa bit-timeout tagħha tiddeċiedi b'mod indipendenti jekk terġax tipprova.

Żewġ tunnels parallel huma disinn differenti

It-tħaddim taż-żewġ tunnels flimkien huwa mudell validu meta ż-żewġ gateways u d-disinn tar-routing jappoġġjawh. Imbagħad l-għażla tar-rotta tagħżel it-triq attiva, u t-triq tar-ritorn trid taqbel, jew it-traffiku joħroġ minn gateway wieħed u jerġa' lura mill-ieħor mingħajr stat li jqabbel miegħu.

Politiki tat-tunnels li jikkoinċidu ma joħolqux failover ordnat waħedhom. Huma joħolqu żewġ kandidati, u xi ħaġa trid tiddeċiedi bejniethom b'mod deterministiku, sew jekk hija metrika tar-routing, prijorità tal-politika jew preferenza espliċita fil-klijent.

Kwalunkwe forma li tagħżel, ikteb il-kuntratt: kif jiġi skopert il-falliment, kif jintgħażel l-alternattiv, liema awtentikazzjoni teħtieġ u kemm hu mistenni li tieħu l-konnessjoni mill-ġdid. IP kondiviż jista' jissimplifika l-iskoperta, iżda mhuwiex sinonimu ta' stat kontinwu, u d-disponibilità hija disinn ikun x'inhu.