चुहावट बिना राउटरमा VPN फेलओभर नीति कसरी बनाउने

फेलओभरले ठ्याक्कै कन्फिगर गरिएअनुसार काम गर्यो, र त्यही नै समस्या थियो। प्राथमिक टनेल खस्दा राउटरले डिफल्ट रुटलाई केबल मोडेममा सार्यो, ल्यापटपहरू ब्राउज गर्दै रहे, र कसैले फोन गरेन। दुई दिनपछि कसैले वित्तीय साझा फोल्डर छ घण्टासम्म खुला इन्टरनेट मार्गबाट पहुँचयोग्य रहेको देख्यो। राउटरमा VPN फेलओभर नीति कुनै रुटिङ चाल होइन; मनपर्ने मार्ग गएपछि ट्राफिकले के गर्नुपर्छ भन्ने निर्णय हो, र त्यो निर्णय मार्ग हराउनु अघि नै हुनुपर्छ।

डिटेक्टर छान्नु अघि नतिजा निर्णय गर्नुहोस्

सामान्यतया तीन नतिजा टेबलमा हुन्छन्: प्रभावित क्लाइन्टहरूलाई ब्याकअप टनेलबाट पठाउने, तिनीहरूलाई सामान्य WAN प्रयोग गर्न दिने, वा तिनीहरूलाई पूर्ण रूपमा ब्लक गर्ने। कुन कुन VLAN, SSID वा यन्त्र वर्गमा लागू हुन्छ लेख्नुहोस्। एउटै समतल “WAN मा जानुहोस्” नियम नै माथिको वित्तीय फोल्डर सार्वजनिक मार्गमा पुग्नुको कारण हो।

यी तीन आपसमा बदल्न मिल्ने छैनन्। WAN फलब्याकले सहयोग डेस्कलाई फोनको जवाफ दिइरहन राख्छ, तर आन्तरिक नामहरू स्थानीय रिजोल्भरसामु खोल्छ। ब्याकअप टनेलले नीति जोगाउँछ, तर अर्को पक्षले स्वीकार नगर्ने एक्जिट ठेगानामा अवतरण गर्न सक्छ। ब्लक गर्नु तलब VLAN का लागि सही र टनेल कहिल्यै नप्रयोग गरेको गेस्ट नेटवर्कका लागि गलत हो।

साँच्चै डराउने खराबीसँग डिटेक्टर मिलाउनुहोस्

ह्यान्डशेक स्थिति, इन्टरफेस स्थिति र प्रयोगयोग्य फर्वार्डिङ तीन फरक संकेत हुन्, र प्रयोगकर्ताका लागि अन्तिम मात्र महत्त्वपूर्ण छ। WireGuard पियरले हालैको ह्यान्डशेक देखाउन सक्छ, जबकि प्रदायकको अपस्ट्रिम प्याकेट कालो प्वालमा फालिरहेको हुन्छ। OpenVPN क्लाइन्टले आफैले धकेलेको रुट समाधान हुन छोडेपछि पनि “जोडिएको” अवस्थामा बसिरहन सक्छ।

pfSense मा व्यावहारिक व्यवस्था dpinger ले पोषण गरेको गेटवे समूह हो, जसले निगरानी ठेगाना जाँच्छ र हानि वा ढिलाइ यसका सीमाना नाघेपछि गेटवेलाई डाउन भनी चिन्ह लगाउँछ। त्यो निगरानीलाई टनेलभन्दा पारि कुनै चीजमा फर्काउनुहोस्, जस्तै टाढाको LAN मा रहेको होस्ट वा त्यसबाट पुग्ने सार्वजनिक ठेगाना। यसलाई टनेलकै पियर ठेगानामा फर्काउनु भनेको पहिले नै जीवित छ भनी तपाईंलाई थाहा भएको भाग नाप्नु हो।

ब्याकअप अन्तिम उपाय रहने गरी समूह बनाउनुहोस्

एउटा समतल सदस्य सूचीको सट्टा तहहरू प्रयोग गर्नुहोस्। प्राथमिक तह 1 मा, ब्याकअप टनेल तह 2 मा, WAN तह 3 मा नीतिले अनुमति दिने VLAN का लागि मात्र। pfSense मा यो System > Routing > Gateway Groups अन्तर्गत छ: दुवै गेटवे थप्नुहोस्, तिनीहरूलाई फरक तह दिनुहोस्, Trigger Level लाई member down plus packet loss मा राख्नुहोस्, सुरक्षित गर्नुहोस्, त्यसपछि समूहलाई इन्टरफेस डिफल्ट वा आवश्यक फायरवाल नियमहरूको Gateway फिल्डमा लागू गर्नुहोस्।

pfSense 2.5 र त्यसपछिका संस्करणहरूमा OpenVPN क्लाइन्ट इन्स्टेन्सका लागि, इन्स्टेन्सको Default Gateway सेटिङले टनेलले प्रणालीको डिफल्ट रुट प्रतिस्थापन गर्छ कि गर्दैन भन्ने निर्धारण गर्छ। नियमअनुसार नीति रुटिङ तपाईंले अनुमान गरेको रुट साँच्चै स्थापित भएको अवस्थामा मात्र अपेक्षाअनुसार व्यवहार गर्छ । परिवर्तनपछि Status > Gateways जाँच्नुहोस्, टनेल स्थिति आइकनमा भरोसा गर्नुको सट्टा।

दुई सेटिङले धेरैजसो फ्ल्यापिङ गराउँछन्। एउटा प्रदायकको आफ्नै पुनःसंगमभन्दा छोटो प्रोब अन्तराल हो। अर्को प्राथमिक र ब्याकअपले तह साझा गर्ने समूह हो, त्यसैले दुवै सधैं योग्य रहन्छन्। तपाईंका प्रयोगकर्ताले तपाईंको सट्टा परिवर्तनहरू महसुस गर्नु अघि हानि र ढिलाइ सीमानामार्फत हिस्टेरेसिस थप्नुहोस्।

टनेलले कहिल्यै नराखेका मार्गहरू बन्द गर्नुहोस्

पहिले DNS चुहावट। रिजोल्भर WAN मा जवाफ दिइरहन्छ र त्यहाँबाट अगाडि पठाउँछ, त्यसैले ट्राफिक टनेलमा टाँसिएको अवस्थामा पनि नामहरू ISP मार्फत समाधान हुँदै रहन्छन्। रिजोल्भरका आउटबाउन्ड इन्टरफेसहरू सीमित गर्नुहोस्, आन्तरिक रिजोल्भर क्लाइन्टतिर धकेल्नुहोस्, र VPN-मात्र VLAN मा बाँकी सबैका लागि पोर्ट 53 ब्लक गर्नुहोस्।

IPv6 लाई आफ्नै निर्णय चाहिन्छ। दोहोरो स्ट्याकको LAN ले टनेल गुमाए पनि काम गर्ने विश्वव्यापी IPv6 डिफल्ट रुट राख्न सक्छ, त्यसैले ब्राउजरहरू IPv6 लाई प्राथमिकता दिन्छन् र WAN बाट बाहिर जान्छन्, जबकि IPv4 पूर्ण रूपमा सीमित देखिन्छ। कि त IPv6 लाई टनेलमा रुट गर्नुहोस्, कि त टनेल डाउन हुँदा विश्वव्यापी प्रिफिक्सको विज्ञापन रोक्नुहोस्। आधा नीति कुनै नभन्दा नराम्रो हुन्छ, किनकि यो काम गरेजस्तो देखिन्छ।

त्यसपछि फिर्ती मार्ग। यदि ब्याकअप एक्जिटले फरक स्रोत ठेगाना प्रयोग गर्छ भने, अर्को पक्षले ट्राफिक कसरी फर्काउने भनी जान्नुपर्छ, र पुरानो ठेगानासँग बाँधिएको हरेक अवस्था पहिले नै मरेको हुन्छ। प्राथमिक खस्दा खुला रहेका सत्रहरू स्थानान्तरण हुँदैनन्; तिनीहरू समाप्त नहुँदासम्म रोकिन्छन् र एप्लिकेसनले के गर्ने निर्णय गर्छ।

खसाइ, फ्ल्यापिङ र फर्केर आउने बाटो परीक्षण गर्नुहोस्

हानिरहित ट्राफिक चलिरहेको बेला प्राथमिक तान्नुहोस्, त्यसपछि चार कुरा पढ्नुहोस्: Status > Gateways समूहका सदस्यहरूको स्थितिका लागि, pfctl -ss पुरानो गेटवेमा अझै टाँसिएका स्थितिका लागि, एक्जिट मार्गका लागि क्लाइन्टबाट traceroute, र कुन सर्भरले जवाफ दियो हेर्न रिजोल्भर प्रश्न।

अब यसलाई फ्ल्याप गर्नुहोस्। प्राथमिकलाई तीस सेकेन्ड माथि, तीस तल, दुई पटक लिनुहोस्। ट्राफिकले हरेक परिवर्तन पछ्याउँछ भने, सीमाना धेरै कडा छन् वा तहहरू गलत छन्। यसलाई आफ्नै तालिकाअनुसार सुधार्नुहोस्, नत्र प्रदायकले आफ्नै तालिकाअनुसार गर्नेछ।

अन्तमा, तपाईंले अझै राउटर प्रशासन गर्न सक्नुहुन्छ भनी पुष्टि गर्नुहोस्। कन्सोल केबल, व्यवस्थापन VLAN वा सेलुलर मोडेमजस्तो ब्यान्डबाहिर मार्ग राख्नुहोस्। तपाईंलाई बाहिर लक गर्ने फेलओभर परीक्षण त्यस्तो परीक्षण हो जुन तपाईंले पूरा गर्न सक्नुहुन्न, र अगम्य राउटर आफै फर्केर आउन सक्दैन।

नीतिलाई पूर्ण भन्नु अघि, टर्मिनल नखोली चार प्रश्नको उत्तर दिन सक्नुपर्छ: टनेल डाउन हुँदा कुन VLAN ले WAN प्रयोग गर्न सक्छन्, डिटेक्टरले के हेर्छ र कति कुर्छ, कुन नाम सर्भर र IPv6 रुट मार्गसँगै सर्छन्, र ब्याकअप पनि असफल भएमा तपाईं कसरी फेरि भित्र पस्नुहुन्छ। कुनै उत्तर “डिफल्ट जे थियो त्यही” भए, नीति अझै राउटरको हो, तपाईंको होइन।