Konnessjonijiet ġodda fuq ħruġ VPN ġdid, flussi qodma jitħallew kif inhuma

Drena ippjanat iċaqlaq biss flussi mhux ikklassifikati. Qabbel dan ma’ bidla ta’ rotta, u ara l-marki, it-tabelli u l-istat conntrack li jżommuh.

Żewġ ħruġ VPN b’saħħithom, upload twil li diġà miexi, u rekwiżit li l-konnessjoni li jmiss tuża l-ieħor tunnel. Hemm żewġ modi kif tissodisfa dan, u wieħed biss minnhom huwa sigur fuq gateway ħaj. Li tibdel ir-rotta default iċaqlaq kull pakkett, inklużi dawk li jappartjenu għall-upload. Drena ippjanat ibiddel l-għażla għall-konnessjonijiet ġodda filwaqt li jħalli l-flussi traċċati fit-triq li bdew fiha.

Żewġ modi kif tibdel ħruġ

Il-bidla tar-rotta hija kmand wieħed u tista’ titreġġa’ lura fi ftit sekondi, u għalhekk tintuża waqt inċidenti. Hija wkoll bla distinzjoni: il-pakketti tal-upload eżistenti joħorġu f’daqqa minn tunnel ieħor, b’indirizz tas-sors pubbliku differenti u stat tat-traduzzjoni separat.

Jekk it-tarf imbiegħed jittraċċa l-flussi bl-indirizz tas-sors, l-upload jista’ sempliċement jieqaf jiġi rikonoxxut. Id-drena jevita dan billi jieħu d-deċiżjoni darba għal kull konnessjoni u jaħżinha, sabiex l-upload qadim iżomm il-ħruġ tiegħu sakemm jispiċċa. Dan huwa l-valur kollu tal-eżerċizzju: it-tarf imbiegħed ma jara l-ebda bidla li jkollu jinterpreta. Ikompli jirċievi pakketti li jaqblu mal-konnessjoni li diġà jaf.

L-ispiża hija l-kumplessità: żewġ tabelli ta’ routing, klassifikatur li jaħdem fuq il-hook it-tajjeb, u marki li jridu jiġu kkoordinati ma’ kull ħaġ’oħra fuq il-magna li tużahom.

Agħti lil kull ħruġ it-tabella tiegħu

Irriżerva tabella ta’ routing għal kull ħruġ u valuri tal-marka jew bits distinti għaż-żewġ għażliet. Kull tabella teħtieġ ir-rotot adatti għar-rwol tagħha, mhux biss isem, u teħtieġ riżultat ta’ falliment apposta għall-każ nieqes. Tabella vojta li taqa’ bil-kwiet fit-tabella prinċipali — hekk it-traffiku joħroġ minn ħruġ li ħadd ma għażel.

ip rule add fwmark 0x10/0x10 table 101
ip rule add fwmark 0x20/0x20 table 102
ip route add default via 192.0.2.1 dev wg-a table 101
ip route add default via 198.51.100.1 dev wg-b table 102

Żid rotta blackhole fl-aħħar ta’ kull tabella sabiex tfittxija bla qbil tfalli bl-għajjat minflok taħrab lejn default li ma għażiltx.

Agħżel darba, fl-ewwel pakkett

Ikklassifika wara li tkun teżisti t-traċċar tal-konnessjonijiet u qabel it-tfittxija tar-rotta li timporta. Għal konnessjoni LAN ġdida u mhux ikklassifikata, agħżel il-ħruġ u aħżinu fl-istat tal-konnessjoni. Fuq pakketti aktar tard, erġa’ stabbilixxi l-valur maħżun fil-marka tal-pakkett li taqra r-routing tal-politika.

Il-parti delikata hija x’ifisser ġdid. Conntrack xorta jista’ jirrapporta NEW għall-pakketti bikrija u t-trażmissjonijiet mill-ġdid qabel ma jidher tweġiba, għalhekk klassifikatur li jiddependi biss fuq dak l-istat jista’ jikteb fuq għażla li diġà għamel. Ivverifika li m’hemmx ħruġ maħżun għall-konnessjoni qabel ma tassenja wieħed.

nftables iżomm il-marki tal-pakkett u tal-konnessjoni separati, u l- gwida tal-metainformazzjoni tiddokumenta l-kopja espliċita bejniethom. Marka tal-konnessjoni ma ssirx waħedha l-marka tal-pakkett li l-qadja tiegħek taqbel magħha, u din hija l-iktar raġuni komuni għaliex klassifikatur miktub b’reqqa ma jkollu l-ebda effett.

Illimita r-restawr għad-direzzjoni u t-traffiku li biħsiebek. L-applikazzjoni ta’ marka tal-ħruġ tal-internet fuq il-pakketti li jirritornaw tista’ tibgħat it-tweġibiet lejn il-ħruġ minflok lejn il-LAN, u s-sintomu hija konnessjoni f’direzzjoni waħda li tidher bħal problema tal-firewall. Aqra t-triq tat-tweġiba qabel ma tmiss regola tal-firewall, għax il-pakkett qed jiġi routed, biss mhux lura lejn min bagħat.

Erba’ fażijiet ta’ drena

  1. Ipprepara B mingħajr ma tmiss A: routing, trażmissjoni, awtorizzazzjoni, NAT u t-triq lura. Installa t-tabella u l-politika tal-għażla tiegħu permezz tas-sid tal-konfigurazzjoni eżistenti tal-gateway.

  2. Biddel il-klassifikatur sabiex konnessjonijiet ġodda u mhux ikklassifikati jagħżlu B, filwaqt li l-għażliet maħżuna jinżammu. Tranżazzjoni nftables atomika tevita tieqa fejn l-istat qadim irid jiġi mnaddaf.

  3. Ħalli A mixgħul sakemm jispiċċaw il-flussi tiegħu. L-interface, it-tabella, il-ħruġ imbiegħed u l-mappings NAT tiegħu għadhom parti minn dawk il-flussi, u l-editjar ta’ regola NAT ma jibnix mill-ġdid rabtiet li diġà jeżistu.

  4. Irtira A meta l-kundizzjoni tad-drena tintlaħaq, imġudikata mill-istat tal-konnessjonijiet u l-imġiba tal-applikazzjoni aktar milli minn intervall wieħed kwiet.

X’ma jistax iwiegħed drena

Talba tal-browser mhijiex konnessjoni tat-trasport ġdida; l-immappjar ikompli jibgħat talbiet fuq dik qadima. Bil-maqlub, fluss UDP jista’ jixjieħ barra minn conntrack u pakkett aktar tard jiġi kklassifikat mill-ġdid. Id-drena jsegwi flussi traċċati, mhux l-idea ta’ applikazzjoni dwar sessjoni.

Jekk A jonqos qabel ma jispiċċaw il-flussi tiegħu, il-marka maħżuna ma ssalvahomx. Jerġgħu jikkonnettjaw permezz ta’ B, jew ma jerġgħux jikkonnettjaw xejn. Drena ippjanat jixtri kontinwità sakemm it-triq oriġinali tkun b’saħħitha; mhuwiex replikazzjoni tal-istat bejn ħruġ indipendenti.

Ivverifika ż-żewġ nofsijiet

Ibda konnessjoni permessa ta’ tul twil qabel il-bidla u waħda ġenwinament ġdida warajha. Ikkonferma liema tunnel juża kull waħda u liema indirizz tas-sors pubbliku jara t-tarf imbiegħed, imbagħad iċċekkja li t-traffiku tar-ritorn jerġa’ lura.

Tħottx it-tabella conntrack biex tidher l-għażla l-ġdida. Dan jeqred eżattament l-istat li d-drena suppost jippreserva, u jbiddel migrazzjoni kkontrollata fi qtugħ bi prova li tidher nadifa.

Artikli relatati