Å forkorte DPD-timaren gjer ikkje VPN-failover raskare

Tunnelar fell, gjenoppretting tek nitti sekund, og timaren for daud peer er sett til ti, så timaren får skulda. Den resonnementet hoppar over tre fasar som skjer etter deteksjonen og vanlegvis brukar mesteparten av tida. Deteksjon av livsteikn merkar stillheita; deretter tek peerval, autentisering, ruteinstallasjon og gjenoppkopling av applikasjonen kvar sin runde. Å forkorte den første fasen kan ikkje forkorte dei andre, og det kan leggje til uro i eit system som allereie sleit.

Fire fasar, der du kan ta tida på éin

Skriv gjenopprettinga som fire hendingar med tidsstempel. Feilen blir observerbar: den siste nyttige verna trafikken og den første mislukka førespurnaden. Den ansvarlege mekanismen reagerer: deteksjon av livsteikn, ein rutemonitor eller ein annan dokumentert utløysar. Alternativet blir brukbart: peerval, autentisering, ein ny assosiasjon og ei rute som faktisk ber den tiltenkte trafikken. Applikasjonen blir gjenoppretta: ein ny operasjon lukkast, og det som var i gang har eit definert utfall.

IKEv2 sine reglar for livsteikn skildrar bevis om peeren og utvekslingane hans, og seier ingenting om ein database eller filtente bak den peeren. Å lese ein livsteikn-timeout som ein helsesjekk for heile vegen er feilen som startar timarjakta.

Kvifor timaren er det minst interessante talet

Konfigurerte verdiar er ikkje utskiftbare einingar. Nokre er gjenfonsøksintervall, nokre er øvre grenser for eit forsøk, og nokre køyrer samstundes med andre. Å leggje dei saman gir eit tal som ser ut som ei prediksjon og oppfører seg som eit rykte. Les dokumentasjonen for feltet du er i ferd med å røre, og noter kva av dei tre typane det er.

Andre fasar er slett ikkje timarar. Ein gjenoppkopling-backoff, ein interaktiv autentiseringsførespurnad eller ein klient som berre vurderer konfigurasjonen sin på nytt ved omstart kan kvar for seg dominere avbrotet medan kvar protokolltimar sit komfortabelt lågt.

Mål fasen som faktisk er treg

Fang feilen éin gong, med tidsstempel på begge sider, og samanlikn deretter dei fire hendingane i staden for protokollen sine eigne teljarar. Eitt skikkeleg utført observasjonsvindauge slår ein månad med tuning.

ip -4 route get 203.0.113.10
tcpdump -ni any -c 20 "esp or icmp"

Viss det alternative endepunktet aldri svarar, hjelper inga timar-endring, fordi utilgjengelegheit ikkje er eit deteksjonsproblem. Viss ny sikkerheitstilstand blir danna raskt, men ruta peikar framleis på den døde vegen, er problemet ruteinstallasjon, og nok ei livsteikn-justering legg berre til uro.

Alternativet må allereie vere brukbart

Ein tryggleikskopi definert i ein konfigurasjon er ikkje ein tryggleikskopi som verkar. Han må vere nåbar frå det noverande nettet til klienten, kunne autentisere same identitet og vere tillaten å bere same trafikk under same policy. Oppdagar du noko av desse tre hòla under eit avbrot, blir timardrøftinga irrelevant. Test alternativet medan den primære er frisk, for det er den einaste tida du kan lese begge loggane side ved side.

Førebu alternativet på førehand, test det med vilje medan den primære er frisk, og noter kva av dei fire fasane som tek tida. Den registreringa er det som gjer den neste endringa til ei måling i staden for ei gissing.

Uro ved tilbakefall og administrasjonsvegen

Å gjenopprette den primære er ei eiga avgjerd. Aggressivt tilbakefall kan avbryte arbeid som allereie var gjenoppretta på tryggleikskopien, og ei flagrande rute kan sjå ut som ein ustabil tunnel når den eigentlege feilen er ei rute som stadig svingar mellom to like alternativ.

To ruter med lik kostnad utan preferanse er den vanlege kjelda til synleg flagring, fordi kvar monitor reagerer på valet til den andre. Avgjer kva rute som er føretrekt under normale tilhøve, og gjer den preferansen eksplisitt i konfigurasjonen i staden for å overlate han til ruterekkjefølgja. Definer ønskt tilbakefallsåtferd og kven som eig han, på førehand. Hald på dei førre innstillingane og ein uavhengig administrasjonsveg, fordi ei endring som fjernar din eigen tilgang under eit avbrot gjer ei nettverkshending om til eit vitjing på staden.

Gjenta deretter same arbeidsmengd og samanlikn dei same fire tidsstempla. Ei kortare gjenoppretting som framleis lèt applikasjonen vente på den same manglande ruta eller innlogginga er ikkje framgang, det er eit anna tal på same grafen.