VPN over meerdere paden: vier garanties die de provider moet leveren

Voeg een tweede WAN-link toe en de tunnels komen op, maar een bestandskopie blijft hangen wanneer één pad hapert. De links zijn gezond en de VPN-processen draaien; wat ontbreekt is een contract tussen de provider en de tunnel. Meerdere sockets gedragen zich niet automatisch als één verbinding, en de applicatie erboven merkt het verschil pas als de levering breekt. Elk deel van het contract komt overeen met een fout die u kunt testen, en dat maakt het nuttig.

Schrijf dat contract voordat u een product kiest. Het heeft vier delen: de stroom die de VPN ontvangt, hoe de provider ontbrekende gegevens herstelt, welke eindpuntidentiteit een padwissel overleeft, en hoe het geheel zich gedraagt wanneer een pad faalt.

Het symptoom: de links staan, de sessie breekt alsnog

Een monitoringsgrafiek die beide links actief toont, bewijst alleen dat elk pad verkeer kan dragen. Het bewijst niet dat de VPN één geordende stroom ziet, dat een pakket dat op één pad verloren ging op een ander wordt hersteld, of dat de peer nog weet met welke sessie hij praat. De rest van het contract dekt wat die grafiek niet kan tonen.

Wanneer een overdracht vastloopt, zoek uit of de provider bleef leveren op het overlevende pad. Sterft de sessie terwijl de tweede link inactief is, dan heeft de provider die nooit gebruikt. Overleeft de sessie maar komen gegevens buiten volgorde of dubbel aan, dan verplaatst de provider pakketten zonder contract op verbindingsniveau. Tijdstempels aan beide kanten maken dat meestal duidelijk.

Dat onderscheid bepaalt de oplossing. Een routing- of beleidsprobleem vereist een andere padkeuze; een ontbrekende laag voor ordening en herstel vereist een ander transport, niet een grotere buffer.

Garantie één: een bytestroom op verbindingsniveau

Als de VPN een betrouwbare geordende stroom nodig heeft, moet de provider bytereeksen boven het individuele pad identificeren. Elke onderliggende TCP-verbinding nummert alleen zijn eigen segmenten, dus een ontvanger kan niet met die nummers alleen over paden heen herordenen.

Multipath TCP is het gestandaardiseerde voorbeeld. Het biedt één betrouwbare bytestroom terwijl het meerdere TCP-subflows coördineert, met sequentiemapping en bevestiging op dataniveau. De applicatie leest een stroom, niet de subflow die toevallig als eerste een stuk leverde.

Op Linux is MPTCP per socket opt-in via IPPROTO_MPTCP. Als de onderhandeling geen multipath-gedrag kan gebruiken, is de gedocumenteerde terugval gewone TCP, wat betekent dat de applicatie over één pad kan blijven werken zonder ooit het tweede te gebruiken. Controleer welk gedrag de uitgerolde socket werkelijk heeft onderhandeld in plaats van aan te nemen dat de kernelinstelling is toegepast.

Garantie twee: ordening, duplicatie en herstel

Paden met verschillende vertragingen en verliespercentages dwingen de provider te bufferen, te herordenen en opnieuw te verzenden. Het contract moet aangeven hoeveel buffering is toegestaan, welke tegendruk de applicatie ziet en welk pad een herzending draagt.

Een pad dat verbonden blijft maar stopt met leveren is moeilijker dan een schone sluiting. De provider moet het detecteren, openstaande gegevens verplaatsen en voorkomen dat hij eindeloos wacht op een segment dat nooit aankomt. Een eenvoudige controle dat beide links actief zijn, dekt deze toestand niet.

Duplicatie heeft een eigen regel nodig. Dezelfde payload over beide paden sturen kan de latentie verbeteren, maar de ontvanger moet de kopie onderdrukken voordat die de VPN bereikt. IPsec-anti-replay is optioneel per security association en controleert sequentienummers; een duplicatielaag die pakketten herordent of herhaalt, kan het activeren of het probleem verbergen tot de tunnel valt.

Garantie drie: eindpuntidentiteit en toetreding van paden

De peer heeft een stabiele manier nodig om de sessie te herkennen wanneer een nieuw pad verschijnt. Als elk pad als aparte tunnel wordt geauthenticeerd, kan de VPN twee sessies zien in plaats van één. Als de provider paden onder één sessie verenigt, moet hij bepalen hoe het nieuwe pad wordt geauthenticeerd en wat er met het oude gebeurt.

Noteer welke adressen en identificatoren stabiel blijven: het tunnel-eindpunt, de sessie-identificator van de provider en een eventuele proxy daartussen. Een proxy voegt nog een beschikbaarheids- en vertrouwensgrens toe, zelfs als hij de beschermde payload nooit ziet.

Hier zit ook het beleid. Een pad dat vanuit een onverwacht netwerk toetreedt, kan technisch geldig zijn en toch het bedoelde vertrouwensmodel schenden. Bepaal of nieuwe paden automatisch worden geaccepteerd, authenticatie vereisen of worden geweigerd.

Garantie vier: begrensd gedrag bij falen

Test een volledige padstoring, niet alleen een langzaam pad. Het overlevende pad moet de sessie dragen zonder onbegrensde geheugengroei, en herstel mag niet afhangen van een timer die langer is dan de applicatie kan verdragen. Wanneer het uitgevallen pad terugkomt, moet de provider beslissen of hij herbalanceert of de stroom laat waar hij is.

Stel limieten in voor buffering, herzending en aantal paden, en verifieer ze onder verlies, herordening, duplicatie en vertragingsongelijkheid. Geaggregeerde bandbreedte is hier het minst interessante getal; leveringscontinuïteit en geheugenlimieten zijn het contract.

Houd de herstelstatus van de provider gescheiden van de cryptografische status van de VPN. Een eigen betrouwbaarheidslaag die bestaande authenticatie of versleuteling vervangt is geen snelweg, en het hergebruiken van sequentienummers over lagen heen maakt replay-bescherming en diagnostiek onbetrouwbaar.

Accepteer de provider met een testplan

Schrijf de vier garanties als geslaagd-of-gefaald-controles: één geordende stroom, gedefinieerd herstel, stabiele sessie-identiteit, begrensd faalgedrag. Voer elke controle uit met één pad verslechterd en daarna met één pad verwijderd.

Eén geslaagde bestandsoverdracht door een padwissel bewijst geen continue werking. Herhaal de overdracht terwijl u het voorkeurspad wisselt, en inspecteer zowel het beeld van de provider als de eigen tellers van de VPN. Als de twee het oneens zijn over welk pad de gegevens droeg, is het contract nog niet waarneembaar.

Bewaar de goedgekeurde matrix bij de uitrol. Die vertelt de volgende engineer welk gedrag is beloofd, welke padcombinaties zijn getest en welke faalmodus nog niet wordt ondersteund, zonder nog een ronde gissen op basis van linkstatuslampjes.