Tliet tipi ta' failover tal-OpenVPN fuq pfSense, tliet mekkaniżmi

„OpenVPN failover“ fuq pfSense ikopri mill-inqas tliet disinni mhux marbuta ma' xulxin, u kull wieħed minnhom jeħtieġ mekkaniżmu ieħor. Iż-żamma ta' tunell ħaj permezz ta' konnessjoni tal-internet ta' riżerva, l-għeluq mill-ġdid ma' server ieħor u d-dawran tat-traffiku LAN f'tunell ieħor diġà stabbilit mhumiex varjanti ta' funzjoni waħda. Agħżel il-ħsara li qed tiddefendi kontra tagħha qabel ma tibni grupp ta' portals. Grupp li jsewwi waħda minnhom ma jagħmel xejn għaż-żewġ l-oħra.

Semmi l-ħsara qabel ma tibni grupp

Ikteb is-sentenza li trid tkun vera waqt interruzzjoni. „It-tunell jerġa' jingħaqad mill-WAN ta' riżerva“ u „il-fergħa xorta tilħaq l-applikazzjoni mit-tunell l-ieħor“ huma sentenzi differenti. L-ewwel waħda biss hija dwar it-trasport.

Imbagħad qabbelha ma' mekkaniżmu. It-telf tal-WAN lokali huwa problema tal-għażla tal-interface, ponta remota mejta hija problema tal-lista tal-konnessjonijiet, u triq li ma tistax tintuża ġewwa tunell stabbilit hija problema ta' routing u politika.

WAN lokali: iċċaqlaq it-trasport

Għal klijent OpenVPN tal-pfSense, l-arranġament multi-WAN appoġġjat jagħżel grupp ta' portals xieraq bħala l-interface li miegħu jorbot il-klijent. Dan huwa dak li jħalli l-konnessjoni ta' barra toħroġ mill-link ta' riżerva meta tonqos dik primarja. Waħdu ma jbiddilx kif jiġi routed it-traffiku ta' ġewwa.

In-naħa tas-server tal-istess disinn hija separata. Server OpenVPN li għandu jkun aċċessibbli minn diversi indirizzi pubbliċi jeħtieġ listener u politika tad-dħul għal kull waħda minn dawk l-entrati, mhux biss klijent li jaf iċempel minn żewġ links. Entrata pubblika li taħdem mhijiex prova li t-tieni waħda hija kkonfigurata.

Regola ta' routing ibbażata fuq il-politika għal pakketti LAN mgħoddija mhijiex is-setting li ċċaqlaq konnessjoni tat-trasport VPN iġġenerata lokalment. Dawn huma żewġ tfittxijiet differenti, u l-bidla ta' waħda ma tbiddilx l-oħra.

Ponta remota: server ieħor

Remote alternattiv hija funzjoni tal-lista tal-konnessjonijiet. Il-klijent jipprova l-entrata li jmiss meta dik kurrenti ma twieġeb, li huwa utli meta host partikolari jkun nieżel u mhux meta tkun nieżla l-link tiegħek li titla'. Iż-żewġ ħsarat jidhru simili mill-iskrivanija ta' utent u jeħtieġu tiswijiet differenti.

Kull kandidat irid ikun sostitut reali: awtentikazzjoni kompatibbli, politika tal-klijent kompatibbli u aċċess għall-istess riżorsi privati. It-tieni isem ta' host li jiġi riżolt fl-istess infrastruttura miksura mhuwiex riżerva. Server mingħajr ir-rotta meħtieġa lanqas huwa, kemm jista' jkun f'saħħtu l-handshake tiegħu.

Dan il-mekkaniżmu lanqas ma jagħmel żewġ tunelli jgħaddu fl-istess ħin. Jissostitwixxi konnessjoni ma' oħra, b'mod sekwenzjali, u l-vojt bejniethom jidher għal kull ma kien qed jaħdem.

Il-mogħdija tat-tunell: agħżel ħruġ ieħor

Meta żewġ tunelli huma diġà mqajma u t-traffiku għandu juża l-aktar wieħed f'saħħtu, il-mekkaniżmu huwa interface VPN assenjata bil-portal tagħha stess, flimkien ma' regola espliċita tal-politika li tibgħat it-traffiku t-tajjeb hemmhekk. Grupp ta' portals fuq dawk l-interfaces assenjati jista' jesprimi prijorità u monitoraġġ.

Dan id-disinn huwa dwar l-għażla, mhux dwar l-irkupru. Iċ-ċaqliq ta' konnessjonijiet ġodda għat-tieni tunell ma jgħid xejn dwar sessjonijiet diġà stabbiliti fuq l-ewwel, u xejn dwar jekk in-naħa l-oħra se taċċettax l-indirizz sors il-ġdid. Li tittrattah bħala mekkaniżmu ta' rkupru huwa l-mod kif tpoġġi aspettativi għoljin wisq.

Jekk il-ħtieġa hija li s-sessjonijiet eżistenti jibqgħu ħajjin, għidha espliċitament. Il-biċċa l-kbira tal-implimentazzjonijiet ma jmigrawx fluss ħaj bejn tunelli, u d-disinn bħallikieku jagħmlu jipproduċi failover li jidher korrett fi diagramma u fil-prattika jitlaq kull konnessjoni miftuħa.

Monitors, NAT u r-regola fail-closed

Monitor għandu jittestja xi ħaġa li t-tunell huwa maħsub biex iwassal. Mira li twieġeb mill-peer tat-tunell imma mhux min-netwerk tal-applikazzjonijiet lil hinn minnu se tirrapporta stat f'saħħtu waqt li l-utenti ma jaraw xejn. Mira dijanjostika li ma tistax tintlaħaq se tirrapporta stat mejjet waqt li l-mogħdija hija sew. Agħżel l-indirizz b'mod deliberat u kkonferma li jintlaħaq biss permezz tat-tunell maħsub.

Iċċekkja n-NAT ħierġa għaż-żewġ ħruġ. Traduzzjoni li taħdem fuq dik primarja ma tiddeskrivix l-indirizz sors tar-riżerva, u n-netwerk privat remot jeħtieġ rotta tar-ritorn li taqbel mas-sors li tippreżenta. Traduzzjoni korretta fuq mogħdija waħda tista' tkun silenzjożament ħażina fuq l-oħra.

Imbagħad iddeċiedi x'jiġri mit-traffiku li qatt m'għandu juża l-WAN. Il-pfSense għandu mġiba definita għal regoli li l-portal magħżula tagħhom hija nieżla, u regola wiesgħa ta' permess aktar tard jew rotta default jistgħu jħassru l-intenzjoni tiegħek. Ikteb ir-riżultat imblukkat bħala rekwiżit, imbagħad ivverifikah billi tniżżel il-mogħdija.

Ittestja t-telf u l-irkupru separatament, b'traffiku li int awtorizzat tiġġenera, u osserva tliet affarijiet f'daqqa: il-WAN li jġorr il-konnessjoni ta' barra, it-tunell li jġorr it-talba tal-applikazzjoni u l-mogħdija li tieħu t-tweġiba. Par indikaturi ħodor tal-portal mhuwiex wieħed minn dawk it-tlieta. Il-gwida tal-Netgate għal WAN multipli tiddeskrivi l-irbit tat-trasport u l-alternattivi tal-klijent esportati li dan jiddependi fuqhom.