دوهم WAN VPN ننوتل ناکام شي خو لومړنی لا کار کوي

لومړنی تونل پر خپل ځای وي، کاروونکي کار ته دوام ورکوي، او دوهم ISP مدار بې کاره پاتې کېږي، هر څه چې بدل کړې۔ تا د بیک اپ مدار لپاره یوه پته خپره کړه، یو نوم پرې وټاکه، شاید کلینټ ته یې بیک اپ ننوتل ورزیات کړل، او کلینټ یا هغه هیڅکله نه ازموي یا تصدیق کېږي او بیا مړ کېږي۔ په هغو پېښو کې چې ما تعقیب کړې، د فیل اوور ځانګړنه معمولاً سمه وه؛ هغه یو شی ورک و چې ننوتل د کار وړ ګرځوي، له پنځو څخه۔ نوم کولی شي بیک اپ پتې ته حل شي، په داسې حال کې چې په هغه انټرفېس کې هیڅ شی اورېدل نه کېږي، او اورېدونکی کولی شي یوه اړیکه ومني، په داسې حال کې چې ځواب له لومړني څخه وځي۔ هر WAN د خپل قرار لرونکي جلا ننوتل وګڼه، نو ناکامي د کلینټ د باګ په څېر نه ښکاري۔

هر WAN خپل د ننوتلو قرار ته اړتیا لري

د هر WAN لپاره پنځه ساحې ثبت کړه: عام نوم او پته، ټرانسپورټ او پورټ، هغه انټرفېس یا شرایط چې پای ته یې رسوي، هغه پیر هویت چې باید وړاندې کړي، او چې ځواب له کومه وځي۔ دوه مداره دوه بشپړې ټولګې معنا لري۔ که دوهمه ټولګه پای ته رسولو انټرفېس یا د بېرته راتلو لاره نه لري، بیک اپ ننوتل نه لرې؛ یو DNS ریکارډ لرې چې یو نیت بیانوي۔

وسایل او د هغې خپرونه هم باید دا ترتیب ملاتړ کړي۔ DNS ریکارډ په بل انټرفېس کې خدمت نه شي خلاصولی، او په ډېرو پلیټفارمونو کې اورېدونکی د وسیلې پر ځای د پتې له مخې تنظیمېږي۔ په ASA کې د انټرفېس پر بنسټ IPsec کریپټو نقشې او تونل ګروپونه له بهرني انټرفېس سره تړي، نو دوهم اپلینک ته په هغه ځای کې پالیسي غواړي چې هغه پاکټونه واقعاً ورته رسېږي۔ د مسیر پر بنسټ ډیزاینونه بل ډول چلند کوي: اورېدونکی کولی شي له هر پتې یا له یوې نومول شوې پتې سره وتړل شي، او هغه ټاکنه فیصله کوي چې ISP B اصلاً ځواب ورکولی شي که نه۔

وګوره چې دوهم WAN واقعاً ځواب ورکوي

له دواړو مدارونو بهر ازموینه وکړه، نه د ګیټوې له شا ماشین څخه، او هغه دقیق نوم ازمویه چې کلینټ پروفایل یې کاروي۔ د TLS اورېدونکي لپاره چټکه کتنه openssl s_client -connect ADDRESS:443 -servername vpn.example.com -showcerts ده چې ستا له شبکې بهر له یوه هوسټ څخه چلېږي۔ ته بشپړ شوی لاس اخېستل غواړې چې زنځیر یې په پروفایل کې له نوم سره سم وي، نه یوازې هغه TCP پورټ چې اړیکه مني۔

RFC 9525 تشریح کوي چې کلینټ څه کتنه کوي: هغه هویت چې غوښتل یې ورته ورسیږي، د هغه سند سره پرتله شوی چې خدمت وړاندې کوي۔ دوهم ننوتل چې د لومړني ننوتل سند بېرته ورکوي، یا ډیفالټ سند چې دواړه نومونه نه ښیي، په دې ازموینه کې ناکامېږي، که څه هم پورټ خلاص او فایر وال یې اجازه ورکوي۔

دلته ډېری ناکامۍ دوه بڼې تشریح کوي۔ هغه اړیکه چې ځوړند پاتې کېږي معمولاً معنا لري چې په هغه انټرفېس کې اورېدونکی نشته، د لاسرسي قاعده چې یوازې لومړني سبنیټونه اجازه ورکوي، یا د دوهم مدار مخې ته یو کیریر وسیله چې پورټ غورځوي۔ هغه لاس اخېستل چې له غلط هویت سره پای ته رسېږي معمولاً معنا لري بل ټرسټ پواینټ، ډیفالټ مجازي هوسټ، یا له لومړني څخه کاپي شوی ترتیب چې هویت یې نه دی سم شوی۔

ځواب تعقیب کړه، نه یوازې غوښتنه

دوهم WAN معمولاً په بېرته راتلو لاره کې ماتېږي۔ غوښتنه پر ISP B راځي، وسیله ځواب ورکوي، او ځواب د ISP A په ډیفالټ مسیر وځي، د سرچینې هغه پتې سره چې کلینټ هیڅکله نه وه غوښتې۔ د حالت لرونکې ژباړه یې لا خرابه کوي: که نقشه د لومړني انټرفېس لپاره جوړه شوې وي، بېرته راتلونکی پاکټ ژباړه له لاسه ورکوي یا هغه سرچینه لري چې د کلینټ فایر وال یې غورځوي۔ چمتو کوونکي هغه سرچینه پتې هم غورځوي چې د هغه مدار نه دي چې تا ته ورکړل شوی، له همدې کبله دا د پاکې پروتوکول تېروتنې پر ځای یو اړخیزه توره سوري ښکاري۔

د هغې ټرافیک لپاره د مسیر پرېکړه وګوره چې سرچینه یې دوهم ننوتل دي۔ ځواب باید له هغه انټرفېس ووځي چې غوښتنه پرې راغلې، یا لږ تر لږه هغه پته ولري چې لرې اړخ یې د هغه لارې برخه ومني۔ په پالیسي-مسیر پلیټفارمونو کې دا معنا لري هغه قاعده چې پر راتلونکي انټرفېس یا ژباړل شوې سرچینې ولاړه وي، او د هر بهرني انټرفېس سره تړلی د ژباړې بیان۔ کله چې کلینټ نښلېږي پر دواړو انټرفېسونو یوځای کپچر وکړه؛ هغه SYN چې پر ISP B راځي او SYN-ACK چې پر ISP A وځي، پوښتنه په یوه چلن کې حل کوي۔

کلینټ ته د دوهم ننوتل د پوهېدو لاره ورکړه

فیل اوور د کلینټ اړخ پرېکړه ده، او هر کلینټ کورنۍ د بدیلونو په اړه بېل ډول پوهېږي۔ په ASA کې د بیک اپ سرور لیست د ګروپ پالیسي د webvpn ځانګړنو له لارې رسول کېږي، خو نور کلینټونه په پروفایل کې لیست یا هغه لاسي دوهم پروفایل تمه کوي چې کاروونکی یې ټاکي۔ د Cisco د نښلولو پالیسي لارښود هم د کلینټ تنظیم شوې او هم د ګیټوې ورکړل شوې بیک اپ معلومات بیانوي، او هغه پروتوکول-ځانګړي تفصیلات باید پر هر کلینټ یا تونل حالت عمومي نه شي۔ مخکې له دې چې دوهم ننوتل پر غلط یو ولاړ کړې، تایید کړه چې ګمارل شوی کلینټ کومه طریقه پلي کوي۔

هره طریقه چې وي، کلینټ باید د لومړنۍ لارې له لاسه ورکولو دمخه بدیل نوم حل کړی شي۔ هغه تکیه هغه ده چې خلک یې له لاسه ورکوي: که د بیک اپ نوم هغه حل کوونکی ځواب کړي چې یوازې د هغه تونل له لارې ورته رسېدل کېږي چې همدا اوس ناکام شو، بدیل نه شي پیلېدلی۔ دوهم نوم په هغه حل کوونکي کې خپور کړه چې په سیمه ییز ډول یا د انټرنېټ له لارې ځواب ورکوي۔ له لېږد وروسته نوی تصدیق او نوې کاري غونډه تمه کړه، ځکه چې د کلینټ فیل اوور حالت لرونکی فیل اوور نه دی او اوږدې غونډې پکې نه پاتې کېږي۔

پر دوو چمتو کوونکو یوه پته بېل محصول دی

یوه عامه پته له دواړو مدارونو لاسرسي وړ ساتل د مسیر خدمت دی، نه په VPN کې د تیک خانې۔ هغه پته ځای غواړي چې دواړه چمتو کوونکي یې د وړلو لپاره تیار وي، د هغوی د شبکو له خوا منل شوي ډول اعلان شوی، چې دا هغه څه دي چې د چمتو کوونکي نه خپلواک ځای او BGP سره ملټي هومینګ یې ورکوي۔ د ISP A پته د ISP B انټرفېس ته ورکول تهل نه رسوي؛ پاکټ هغه شبکې ته رسېږي چې هغه پریفیکس یې هیڅکله نه دی اعلان کړی او پورته بهیر کې غورځول کېږي۔

د دوو ننوتلو خپرولو لپاره له دې څخه هیڅ ته اړتیا نه لرې۔ که کلینټ دوه نومونه ساتلی شي او د هغوی ترمنځ ناکام شي، دوه خپلواک ننوتل بس دي، او ته د AS شمېرې، د پیرینګ ترتیب او هغه پریفیکس څخه ځان ساتې چې باید هر چېرې ومنل شي۔ د لېږد وړ پتې اختیار یوازې هغه وخت وګوره چې واقعاً یو ثابت ننوتل ځای غواړې چې کلینټونه یې په بیا تنظیم سره بدلولی نه شي، یا کله چې د TTL ځنډ سره DNS-بنسټ فیل اوور ستا د ډیزاین شوې خنډ لپاره ډېر ورو وي۔

بل څه باید وکتل شي

له ناکام ننوتل څخه بهر ته په دې ترتیب کار وکړه: آیا دوهمه پته له بهر ځواب ورکوي، آیا هغه هویت وړاندې کوي چې کلینټ تمه لري، آیا ځواب هغې لارې وځي چې غوښتنه پرې راغلې وه، او آیا کلینټ نوم د اړتیا دمخه زده کولی شي۔ چېرې چې ځواب نه وي، هغه پوړ سم کړه او د ازموینې هوسټ پر ځای د ګمارل شوي پروفایل سره بیا ازموینه وکړه، ځکه چې د لابراتوار لاس اخېستل د اصلي کلینټ له بشپړې اړیکې څخه لږ ثابتوي۔

د هر WAN لپاره لنډ ثبت وساته، چې پته، پورټ، پای ته رسولو انټرفېس، د سند نوم، بېرته راتلو لاره او د ژباړې قاعده پکې وي، او هر کله چې مدار، NAT وسیله یا د کلینټ نسخه بدله شي بیا یې وګوره۔ بې کاره بیک اپ لارې په خاموشۍ ورانيږي: هغه ننوتل چې هیڅوک یې نه کاروي هیچا ته خبر نه ورکوي، تر هغې ورځې چې ټول پرې تکیه کوي۔