It-tieni daħla VPN tal-WAN tfalli filwaqt li l-ewlenija għadha taħdem

It-tunnell ewlieni jibqa' miftuħ, l-utenti jkomplu jaħdmu, u ċ-ċirkwit tat-tieni ISP jibqa' wieqaf tkun xi tkun il-bidla li tagħmel. Ippubblikajt indirizz għaċ-ċirkwit ta' riżerva, indirizzajt isem lejh, forsi żidt daħla ta' riżerva fil-klijent, u l-klijent jew ma jippruvah qatt jew jawtentika u mbagħad jaqa'. Fil-każijiet li ttraċċajt, il-karatteristika tal-failover kienet ġeneralment tajba; kienet nieqsa waħda mill-ħames affarijiet li jagħmlu daħla użabbli. Isem jista' jiġi riżolt għall-indirizz ta' riżerva filwaqt li ħadd ma jisma' fuq dak l-interface, u semmiegħa jista' jaċċetta konnessjoni filwaqt li t-tweġiba toħroġ mill-ewlenija. Ittratta kull WAN bħala daħla separata bil-kuntratt tagħha stess u l-ħsara tieqaf tidher bħala bug tal-klijent.

Kull WAN jeħtieġ kuntratt tad-daħla tiegħu stess

Irreġistra ħames oqsma għal kull WAN: l-isem u l-indirizz pubbliċi, it-trasport u l-port, l-interface jew il-kuntest li jtemmha, l-identità tal-peer li għandha tippreżenta, u minn fejn toħroġ it-tweġiba. Żewġ ċirkwiti jfissru żewġ settijiet kompluti. Jekk it-tieni sett m'għandux interface li ttemmha jew m'għandux mogħdija lura, m'għandekx daħla ta' riżerva; għandek rekord DNS li jiddeskrivi intenzjoni.

L-apparat u l-verżjoni tiegħu wkoll iridu jappoġġaw dan l-arranġament. Rekord DNS ma jistax jiftaħ servizz fuq interface oħra, u fuq ħafna pjattaformi s-semmiegħa hija kkonfigurata skont l-indirizz u mhux skont il-mezz. IPsec ibbażat fuq l-interface fuq ASA jorbot il-crypto maps u l-gruppi tat-tunnell mal-interface ta' barra, għalhekk it-tieni uplink jeħtieġ politika mwaħħla fejn dawk il-pakketti tassew jaslu. Disinni bbażati fuq ir-rotta jġibu ruħhom b'mod differenti: is-semmiegħa tista' torbot ma' kull indirizz jew ma' indirizz wieħed bl-isem, u dik l-għażla tiddeċiedi jekk ISP B jistax iwieġeb xejn.

Ivverifika li t-tieni WAN tassew iwieġeb

Ittestja minn barra ż-żewġ ċirkwiti, mhux minn magna wara l-gateway, u ttestja l-isem eżatt li juża l-profil tal-klijent. Għal semmiegħa TLS, il-verifika mgħaġġla hija openssl s_client -connect ADDRESS:443 -servername vpn.example.com -showcerts immexxija minn host barra n-netwerk tiegħek. Trid handshake komplut li l-katina tiegħu taqbel mal-isem fil-profil, mhux biss port TCP li jaċċetta konnessjoni.

RFC 9525 tispjega x'qed jiċċekkja l-klijent: l-identità li kien beħsiebu jilħaq, imqabbla maċ-ċertifikat li tippreżenta s-servizz. Tieni daħla li tirritorna ċ-ċertifikat tad-daħla ewlenija, jew ċertifikat default li ma jelenkax lanqas waħda mill-ismijiet, tfalli dan it-test għalkemm il-port huwa miftuħ u l-firewall jippermettih.

Żewġ mudelli jispjegaw ħafna mill-ħsarat hawn. Konnessjoni li ddendel normalment tfisser li m'hemmx semmiegħa fuq dik l-interface, regola ta' aċċess li tippermetti biss is-subnets ewlenin, jew mezz tal-carrier quddiem it-tieni ċirkwit li jwarrab il-port. Handshake li jintemm bl-identità żbaljata normalment tfisser trustpoint differenti, virtual host default, jew konfigurazzjoni kopjata mill-ewlenija mingħajr ma ġiet aġġustata l-identità.

Segwi t-tweġiba, mhux biss it-talba

It-tieni WAN normalment jinqasam fit-triq lura. Talba tasal fuq ISP B, l-apparat iwieġeb, u t-tweġiba toħroġ mir-rotta default fuq ISP A b'indirizz sors li l-klijent qatt ma talab. It-traduzzjoni stateful tagħmilha agħar: jekk il-mapping inbena għall-interface ewlenija, il-pakkett li jirritorna jonqos it-traduzzjoni jew iġorr sors li l-firewall tal-klijent jwarrab. Il-fornituri wkoll iwarrbu indirizzi sors li ma jappartjenux għaċ-ċirkwit li tawhulek, u għalhekk dan jidher bħala toqba sewda f'direzzjoni waħda minflok żball tal-protokoll nadif.

Iċċekkja d-deċiżjoni tar-rotta għal traffiku li joriġina mit-tieni daħla. It-tweġiba għandha toħroġ mill-interface li fuqha waslet it-talba, jew għallinqas iġorr indirizz li n-naħa l-oħra taċċettah bħala parti minn dik il-mogħdija. Fuq pjattaformi b'policy routing dan ifisser regola marbuta mal-interface li tidħol minnha t-talba jew mas-sors tradott, flimkien ma' dikjarazzjoni tat-traduzzjoni marbuta ma' kull interface ta' barra. Aqbad fuq iż-żewġ interfaces fl-istess ħin waqt li l-klijent jikkonnettja; SYN li jasal fuq ISP B bis-SYN-ACK joħroġ fuq ISP A jissolva l-kwistjoni f'daqqa waħda.

Agħti lill-klijent mod kif jitgħallem dwar it-tieni daħla

Il-failover hija deċiżjoni fuq in-naħa tal-klijent, u kull familja ta' klijenti titgħallem dwar l-alternattivi b'mod differenti. Fuq ASA, il-lista tas-servers ta' riżerva titwassal permezz tal-attributi webvpn tal-group policy, filwaqt li klijenti oħra jistennew lista fil-profil jew it-tieni profil manwali li jagħżel l-utent. Il-gwida tal-connection policy ta' Cisco tiddeskrivi kemm l-informazzjoni ta' riżerva kkonfigurata mill-klijent kif ukoll dik ipprovduta mill-gateway, u dawk id-dettalji speċifiċi għall-protokoll m'għandhomx jiġu ġeneralizzati għal kull klijent jew mod tat-tunnell. Ikkonferma liema mekkaniżmu jimplimenta l-klijent installat qabel ma tibni t-tieni daħla madwar wieħed żbaljat.

X'ikun il-mekkaniżmu, il-klijent irid ikun jista' jirriżolvi l-isem alternattiv qabel ma jitlef il-mogħdija ewlenija. Dik id-dipendenza hija l-waħda li n-nies jitilfu: jekk l-isem ta' riżerva jiġi mwieġeb minn resolver aċċessibbli biss mit-tunnell li għadu kemm falla, il-fallback lanqas ma jista' jibda. Ippubblika t-tieni isem f'resolver li jwieġeb lokalment jew fuq l-internet. Stenna awtentikazzjoni ġdida u sessjoni ġdida tal-applikazzjoni wara t-trasferiment, għax il-failover tal-klijent mhuwiex failover stateful u s-sessjonijiet twal ma jgħaddux.

Indirizz wieħed fuq żewġ fornituri huwa prodott differenti

Iżżomm indirizz pubbliku wieħed aċċessibbli permezz taż-żewġ ċirkwiti hija servizz tar-rotta, mhux kaxxa tal-ippeġjar fuq il-VPN. Trid spazju tal-indirizzi li ż-żewġ fornituri huma lesti jġorru, imħabbar b'mod li n-netwerks tagħhom jaċċettaw, li huwa dak li jipprovdi l-multihoming bi spazju indipendenti mill-fornitur u BGP. L-assenjazzjoni tal-indirizz ta' ISP A lill-interface ta' ISP B ma twasslek hemmhekk; il-pakkett jasal f'netwerk li qatt ma ħabbar il-prefiss u jitwarrab aktar 'il fuq.

M'għandekx bżonn xejn minn dan biex tippubblika żewġ daħliet. Jekk il-klijent jista' jżomm żewġ ismijiet u jaqbeż bejniethom, żewġ daħliet indipendenti huma biżżejjed, u tevita numru AS, arranġament ta' peering, u prefiss li jrid jiġi aċċettat kullimkien. Ikkunsidra l-għażla tal-indirizz portabbli biss meta tassew għandek bżonn punt tad-daħla stabbli wieħed li l-klijenti ma jistgħux jiġu rikonfigurati biex jissostitwixxuh, jew meta l-failover ibbażat fuq id-DNS bid-dewmien tat-TTL tiegħu huwa wisq bil-mod għall-waqfa li qed tiddisinja kontriha.

X'għandek tivverifika wara

Imxi 'l barra mid-daħla li qed tfalli b'dan l-ordni: l-indirizz it-tieni jwieġeb minn barra, jippreżenta l-identità li l-klijent jistenna, it-tweġiba toħroġ bil-mod li bih waslet it-talba, u l-klijent jista' jsir jaf bl-isem qabel ma jeħtiġu. Fejn it-tweġiba hija le, sewwi dak il-livell u erġa' ttestja bil-profil installat mhux b'host tat-test, għax handshake mil-laboratorju jipprova inqas minn konnessjoni kompluta mill-klijent reali.

Żomm rekord qasir għal kull WAN, bl-indirizz, il-port, l-interface li ttemm, l-isem taċ-ċertifikat, il-mogħdija lura u r-regola tat-traduzzjoni, u erġa' vverifika kull meta jinbidel ċirkwit, mezz NAT jew verżjoni tal-klijent. Il-mogħdijiet ta' riżerva li jibqgħu wieqfa jitmermru bil-kwiet: ħadd ma jwissi dwar id-daħla li ħadd ma juża sad-data meta kulħadd jiddependi fuqha.