په pfSense کې د OpenVPN د ناکامۍ لېږد درې ډوله، درې میکانیزمونه

په pfSense کې „OpenVPN failover“ لږ تر لږه درې بېلې طرحې رانغاړي او هر یو یې بل میکانیزم غواړي۔ ټنل د بیک اپ انټرنیټ لینک له لارې ژوندی ساتل، بل سرور ته بیا نښلېدل او د LAN ټرافیک بل مخکې جوړ شوي ټنل ته اړول د یوې ځانګړنې بڼې نه دي۔ د ګېټوې ګروپ له جوړولو مخکې هغه ناکامي وټاکئ چې ځان ترې ساتئ۔ هغه ګروپ چې یوه یې سمه کوي، د نورو دوو لپاره هېڅ نه کوي۔

د ګروپ له جوړولو مخکې ناکامي ونوموئ

هغه جمله ولیکئ چې غواړئ د قطعې په مهال رښتینې وي۔ „ټنل د بیک اپ WAN له لارې بیا نښلي“ او „څانګه لا هم د بل ټنل له لارې اپلیکیشن ته رسېږي“ بېلې جملې دي۔ یوازې لومړۍ د لېږد په اړه ده۔

بیا یې له یو میکانیزم سره وتړئ۔ د سیمه ییز WAN له لاسه ورکول د انټرفېس د ټاکلو ستونزه ده، مړه لرې پای ټکی د اړیکو د لیست ستونزه ده، او په جوړ شوي ټنل کې دننه ناکاره لار د لارښوونې او پالیسۍ ستونزه ده۔

سیمه ییز WAN: لېږد وخوځوئ

د pfSense د OpenVPN کلینټ لپاره د څو WAN ملاتړ شوې ترتیبه مناسبه ګېټوې ګروپ د هغه انټرفېس په توګه ټاکي چې کلینټ ورته تړل کېږي۔ همدا ده چې بهرنۍ اړیکه د لومړني ناکامېدو پر مهال بیک اپ لینک ته وځي۔ په خپله دا نه بدلوي چې دنننی ټرافیک څنګه لارښوونې کېږي۔

د همدې طرحې سرور خوا بېله ده۔ هغه OpenVPN سرور چې باید د څو عامه پتو له لارې ورته رسېدل ممکن وي، د هرې هغې ننوتنې لپاره اورېدونکی او د ننوتلو پالیسي غواړي، نه یوازې هغه کلینټ چې د دوو لینکونو له لارې زنګ ووهي۔ یوه فعاله عامه ننوتنه د دې ثبوت نه ده چې دویمه تنظیم شوې۔

د لېږل شوو LAN پاکټونو لپاره د پالیسۍ پر بنسټ د لارښوونې قاعده هغه تنظیم نه دی چې په سیمه ییز ډول جوړ شوی VPN لېږد اړیکه خوځوي۔ دا دوه بېلې پلټنې دي او د یوې بدلون بل نه بدلوي۔

لرې پای ټکی: بل سرور

بدیل remote د اړیکو د لیست ځانګړنه ده۔ کلینټ راتلونکې ننوتنه هڅوي کله چې اوسنۍ ځواب نه ورکوي، دا هغه وخت ګټوره ده کله چې یو ځانګړی هوسټ لوېدلی وي نه کله چې ستاسو خپل پورته لینک لوېدلی وي۔ دواړه ناکامۍ د کاروونکي له مېزه یو شان ښکاري او بېل سمونونه غواړي۔

هر نوماند باید ریښتینی بدیل وي: سمون ورکوونکې تصدیق، سمون ورکوونکې کلینټ پالیسي او همدغو خصوصي سرچینو ته لاسرسی۔ دویم هوسټ نوم چې همدغې خرابې زیربنا ته حل کېږي بیک اپ نه دی۔ هغه سرور چې اړینه لار نه لري هم نه دی، که څه هم د هغه لاس ورکول څومره روغ ښکاري۔

دا میکانیزم دوه ټنلونه یو ځای نه لېږي۔ یوه اړیکه له بلې سره په پرله پسې توګه بدلوي، او د دواړو ترمنځ تشه هر هغه څه ته ښکاري چې روان وو۔

د ټنل لار: بله وتنه وټاکئ

کله چې دوه ټنلونه مخکې ولاړ وي او ټرافیک باید روغتر یې وکاروي، میکانیزم هغه ټاکل شوې VPN انټرفېس ده چې خپله ګېټه لري، له دې سره یوه روښانه پالیسي قاعده چې سم ټرافیک هلته لېږي۔ د هغو ټاکل شوو انټرفېسونو پر سر ګېټوې ګروپ کولای شي لومړیتوب او څارنه څرګنده کړي۔

دا طرحه د ټاکلو په اړه ده، د بیا رغولو نه۔ نوي اړیکې دویم ټنل ته اړول د لومړي پر سر مخکې جوړو شوو غونډو په اړه هېڅ نه وایي او نه دا چې بل لوری به نوی سرچینه پته ومني۔ دا د بیا رغونې میکانیزم ګڼل هماغه لار ده چې تمې ډېرې لوړې کړو۔

که غوښتنه دا وي چې شته غونډې باید ژوندې پاتې شي، دا په روښانه توګه ووایاست۔ ډېری پلي کول ژوندی بهیر د ټنلونو ترمنځ نه لېږدوي، او داسې طرحه کول لکه چې لېږدوي یې، هغه failover جوړوي چې په انځور کې سم ښکاري او په عمل کې هر پرانیستی اړیکه غورځوي۔

څارونکي، NAT او د fail-closed قاعده

څارونکی باید هغه څه وازمويي چې ټنل باید یې وسپاري۔ هغه هدف چې د ټنل له ملګري ځواب ورکوي خو د هغه شاته د اپلیکیشن شبکې نه، به روغ راپور ورکړي په داسې حال کې چې کاروونکي هېڅ نه ویني۔ نه رارسېدونکی تشخیصي هدف به مړ راپور ورکړي په داسې حال کې چې لار ښه ده۔ پته په قصد وټاکئ او تایید کړئ چې یوازې د پام وړ ټنل له لارې ورته رسېدل ممکن دي۔

د دواړو وتنو لپاره ووتونکی NAT وګورئ۔ پر لومړني کار کوونکې ژباړه د بیک اپ د سرچینې پته نه بیانوي، او لرې خصوصي شبکه داسې بیرته لار غواړي چې ستاسو له وړاندې کړې سرچینې سره سمه وي۔ په یوه لار کې سمه ژباړه په بله کې په غلې توګه ناسمه کېدای شي۔

بیا پرېکړه وکړئ چې د هغه ټرافیک څه کیږي چې هېڅکله باید WAN ونه کاروي۔ pfSense د هغو قاعدو لپاره ټاکلې چلند لري چې ټاکل شوې ګېټه یې لوېدلې وي، او وروسته پراخه د تېرېدو قاعده یا تلواله لار ستاسو نیت باطلولی شي۔ بند شوی پایله د غوښتنې په توګه ولیکئ، بیا یې د لارې په نېستلو تایید کړئ۔

له لاسه ورکول او بیا رغول بېلې بېلې وازموئ، د هغه ټرافیک سره چې جوړول یې اجازه لرئ، او په یو وخت درې شیان وګورئ: هغه WAN چې بهرنۍ اړیکه پورته کوي، هغه ټنل چې د اپلیکیشن غوښتنه پورته کوي او هغه لار چې ځواب نیسي۔ یوه جوړه شنه ګېټې نښې له هغو دریو څخه یوه نه ده۔ د Netgate د څو WAN لارښود هغه لېږد تړاو او صادرېدونکې کلینټ بدیلې تشریح کوي چې دا پرې ولاړ دي۔