دوه IPsec دروازې، پرته له شریک IP: failover واقعاً څه کوي

په یوه غونډه کې د A دروازه بنده کړئ او وګورئ چې یوه دقیقه وروسته تونل د B له لارې بېرته راځي؛ اړیکه کار کوي، ویډیو زنګ ممکن نه وي۔ دا د دوو خپلواکو پتې لرونکو IPsec دروازو ترمنځ د سوړ failover صادق بڼه ده۔ کلینټ بیا یو پای ټکی غوره کوي او نوې اړیکه جوړوي، چې پرته له دې چې د پخوانۍ غونډې کرپټوګرافیک حالت انتقال کړي، لاسرسی بېرته راولي۔ د ترتیب تعقیبول روښانه کوي چې ډیزاین کومې ژمنې پوره کولی شي۔

صحنه جوړه کړئ: دوه پتې، هیڅ تېرېدونکی IP

د A دروازه په یوه رسېدونکې پته ځواب وایي او د B دروازه په بله۔ کلینټ د A له ورکېدو وروسته د B د غوره کولو تصویب شوې لاره لري، او دواړه دروازې داسې شریکه بهرنۍ پته نه لري چې دواړه یې ادعا وکړي۔ په دې ډیزاین کې مجازي IP هماغه شریک ننوت ځای ته وایي، نه هغه داخلي پته چې لرې لاسرسي کلینټ ته ورکول کیږي۔

دا تعریف مهم دی ځکه چې دوه نظرونه په ټکټونو کې ګډیږي، او د یو حل د بل حل نه دی۔ هغه راپور چې شریک ننوت دروازې پسې نه لاړ، یو ډیزاین بیانوي۔ هغه راپور چې لیپ ټاپ خپله داخلي پته ورکه کړه، د کلینټ اجاره بیانوي۔ بېل مالکان، بېل ثبتونه، بېل ترمیمونه۔

نیمګړتیا وګورئ: کشف کړئ، بیا بیا غوره کړئ

لومړی یو څه پام کوي چې A د ځواب ورکولو مخه نیولې۔ دا کیدای شي د تونل په پوړ کې د مړ ملګري کشف، د لارې د بیرته اخیستلو روتینګ پروتوکول، یا د غوښتنلیک وخت ختمیدل وي چې په پای کې بیا نښلولو ته اړوي۔ هر یو بېل وخت اندازه لري، او تر ټولو وروستی معمولاً ټاکي چې کاروونکي څومره انتظار کوي۔

بیا کلینټ د هغه میکانیزم له لارې B غوره کوي چې ځای پرځای کول یې ملاتړ کوي: دوهم تنظیم شوی لرې ټکی، د روغې پتې ته حل شوی DNS نوم، یا روتینګ چې اوس بله لاره غوره ګڼي۔ غوره کول د پالیسۍ ګام دی، او باید د نیمګړتیا دمخه وي که نه په ناڅاپي توګه به پیښ شي۔

B څه کولی شي او څه نشي کولی په میراث واخلي

B کولی شي له A سره د تنظیم کولو کچه، د سندونو واک او د تصدیق پالیسي شریکه کړي۔ دا نشي کولی ژوندي امنیتي ټولنې په میراث واخلي۔ د غونډې کیلي، د امنیت پارامیټر شاخصونه او د ترتیب حالت هغه اړیکې پورې اړه لري چې A او کلینټ جوړه کړې، او B له دوی څخه هیڅ نه لري۔

دا حالت د دروازو ترمنځ لېږدول یوه ریښتینې انجنیري ستونزه ده، نو ځکه د strongSwan د لوړ لاسرسي اسناد دا د کلستر ډیزاین بولي نه د تنظیم بیرغ۔ یو ځانګړی کلستر ترکیب د کلاوډ شبکې لپاره عمومي ځواب نه دی، او پرته له ملاتړې زیربنا څخه یې کاپي کول د دوام پرځای پیچلتیا اخلي۔

نوې اړیکه جوړول

د B له غوره کولو سره، کلینټ نوی IKE تبادله ترسره کوي: نوي nonce ارزښتونه، نوي Diffie-Hellman ارزښتونه، د رامنځته شوو ټولنو لپاره نوي پیژندونکي۔ تصدیق بیا په B کې کیږي۔ که ډیزاین پر ماشیني اعتبارنامو تکیه وکړي، بیا نښلول کیدای شي بې نظارته وي؛ که انساني فاکتور ته اړتیا وي، یو څوک باید حاضر وي ترڅو failover بشپړ شي۔

دا کاروونکي تجربه د خنډ دمخه تعریف کړئ، د هغه په جریان کې نه۔ روښانه ووایاست چې کلینټ به څه وکړي، څومره به هڅه وکړي او کله چې تسلیم شي څه به وښیي، ځکه چې د یوې دقیقې بیا نښلولو او د ملاتړ زنګ ترمنځ توپیر معمولاً اسناد او ازمویل شوی پروفایل دی۔

ورته داخلي پته ساتل هغو غوښتنلیکونو سره مرسته کوي چې ثابته ځایي هویت ته انتظار دي، او د هغوی غونډې نه ساتي۔ NAT بندیزونه پای ته رسي، TCP اړیکې بیا تنظیمیږي او هر هغه څه چې خپل وخت ختمیدل لري په خپلواکه توګه پریکړه کوي چې بیا هڅه وکړي که نه۔

په موازي ډول دوه تونلونه بېل ډیزاین دي

دواړه تونلونه یوځل چلول د هغه وخت لپاره سم نمونه ده چې دواړه دروازې او د روتینګ ډیزاین یې ملاتړ کوي۔ بیا د لارې غوره کول فعاله لاره غوره کوي، او د بیرته راستنیدو لاره باید سره سمه وي، که نه ترافیک د یوې دروازې له لارې وځي او د بلې له لارې بیرته راځي، پرته له دې چې د سمون لپاره حالت ولري۔

پوښل شوې تونل پالیسۍ پخپله منظم failover نه جوړوي۔ دوی دوه نوماندان جوړوي، او یو څه باید د دوی ترمنځ په ټاکلې توګه پریکړه وکړي، که هغه د روتینګ میټریک، د پالیسۍ لومړیتوب یا په کلینټ کې روښانه غوره توب وي۔

هر ډول چې غوره کړئ، تړون ولیکئ: نیمګړتیا څنګه کشفیږي، بدیل څنګه غوره کیږي، بدیل کوم تصدیق ته اړتیا لري او څومره وخت به بیا نښلول ونیسي۔ شریک IP کولای شي کشف اسانه کړي، مګر دا د دوامداره حالت مترادف نه دی، او لاسرسی په هر حال یو ډیزاین دی۔