Tweede VPN-eindpunt: wat het dekt en wat niet

Twee eindpunten lijken op papier op redundantie. In de praktijk helpt een tweede adres alleen als clients het kunnen bereiken en als het de storing vermijdt waarop u zich voorbereidt. Twee servers achter dezelfde toegangsverbinding, hetzelfde account of hetzelfde doeldomein vallen samen uit. De nuttige vraag is welke enkele storing het tweede eindpunt wegneemt.

Vergelijk wat beide eindpunten delen

Noteer wat de twee eindpunten gemeen hebben voordat u telt wat ze dupliceren. Hostinglocatie, provideraccount, upstream-transit, DNS-hosting, de identiteitsbron en de privébron achter de tunnel zijn elk een gedeelde of een onafhankelijke afhankelijkheid. Twee virtuele machines in één regio delen een providerstoring. Twee regio’s onder één account delen nog steeds de facturatieverhouding en het bedieningsvlak dat ze aanmaakt.

Het doelnetwerk verdient dezelfde behandeling. Een gezonde reservegateway kan een NAS die offline is niet herstellen, en kan geen kantoornetwerk bereiken waarvan de uplink is uitgevallen. Als beide eindpunten in hetzelfde privé-subnet eindigen, voegt de tweede alleen een pad toe naar een bestemming die al het enige storingspunt is.

Identiteit is de afhankelijkheid die mensen vergeten. Het klonen van het certificaat en de configuratie naar een tweede host maakt twee plaatsen waar dezelfde inloggegevens kunnen worden gekopieerd, en zegt niets over hoe intrekkingen beide bereiken.

Bepaal hoe een client overschakelt

Een tweede eindpunt is alleen nuttig als de client het kent en het kan kiezen zonder een beroep op support. OpenVPN-verbindingsprofielen kunnen meerdere remote-regels met een selectiebeleid bevatten, en de meeste clients bieden een alternatief profiel in een menu. Noteer hoe dan ook welk profiel uw gebruikers hebben, want een profiel dat ze niet kunnen vinden is geen failover.

Lees de clientdocumentatie over adreswijzigingen tijdens een sessie. Sommige implementaties houden de oorspronkelijke peer voor de hele levensduur van de tunnel en bekijken alternatieven pas bij opnieuw verbinden. Dat verschil bepaalt of een dood eindpunt een korte onderbreking geeft of een sessie die nooit herstelt. Test het pad voor opnieuw verbinden in plaats van aan te nemen dat het gebeurt.

Een gewijzigd uitgangsadres breekt ook de toestand van de toepassing. Failover is herstel, en het beschrijven als ononderbroken continuïteit schept een verwachting die het transport niet kan waarmaken.

Test één echte storing

Kies één gecontroleerde uitval en voer die van begin tot eind uit, in plaats van het ontwerpdocument te vertrouwen. Stop het primaire eindpunt en bevestig daarna dat een geautoriseerde client de bedoelde toepassing via het alternatief bereikt terwijl ongeautoriseerde clients dat nog steeds niet kunnen. Noteer hoe lang de omschakeling duurde en wat de toepassing zag.

dig +short vpn2.example.net
ip route get 10.20.30.41
journalctl -u openvpn@backup --since '-10 min'

De eerste opdracht bevestigt dat de reservernaam naar iets routeerbaars oplost voordat u die nodig hebt, en dat is hier de goedkoopste test. De tweede laat zien welke interface de kernel voor een privébestemming zou gebruiken zodra het alternatief actief is. De derde geeft het clientlog met de naam van de peer waarmee daadwerkelijk verbinding is gemaakt, en dat is het enige bewijs dat de omschakeling plaatsvond. Let ook op het blokkeergedrag tijdens de tussenperiode, want een beleid dat tijdens het omschakelen verkeer lekt is erger dan een korte onderbreking.

Breng daarna het origineel terug en bevestig of de client terugkeert. Een failback die per ongeluk gebeurt is gedrag waarop niemand had gerekend.

Schrijf op wat het tweede adres oplevert

Vat de dekking in één alinea samen: welke storing het tweede eindpunt wegneemt, welke storingen het met het eerste deelt en op welke aannames de omschakeling berust. Noem het mechanisme aan de clientkant plus de privéroutes en het DNS-gedrag die op beide locaties moeten bestaan. Een openbare internetuitgang vervangt geen privégateway, en een document dat ze als uitwisselbaar behandelt, wordt geloofd. Voeg de hersteltest toe die u hebt uitgevoerd, met de datum en het resultaat.

Onafhankelijkheid van één server is geen onafhankelijkheid van het gedeelde account of het doelnetwerk. Juist de alinea die dat hardop zegt, voorkomt dat een tweede adres intern als hoge beschikbaarheid wordt verkocht. Die vertelt ook de volgende operator wat als eerste te controleren wanneer het paar samen uitvalt.