Ako vytvoriť politiku prepínania VPN na routeri bez únikov
Rozhodnite, čo má robiť prevádzka, keď preferovaný tunel vypadne: záložný tunel, obyčajný WAN alebo blokovanie. Potom to postavte a otestujte na routeri.
Prepnutie fungovalo presne tak, ako bolo nastavené, a to bol práve problém. Keď hlavný tunel vypadol, router presunul predvolenú trasu na káblový modem, notebooky ďalej prehliadali a nikto nezavolal. O dva dni si niekto všimol, že finančný zdieľaný priečinok bol šesť hodín dostupný cez otvorenú internetovú cestu. Politika prepínania VPN na routeri nie je trik s routovaním; je to rozhodnutie o tom, čo má prevádzka robiť, keď preferovaná cesta zmizne, a toto rozhodnutie musí existovať skôr, než cesta zmizne.
Rozhodnite o výsledku skôr, než vyberiete detektor
Zvyčajne sú na stole tri výsledky: poslať postihnutých klientov cez záložný tunel, nechať ich používať obyčajný WAN alebo ich úplne zablokovať. Zapíšte, ktorý platí pre ktorú VLAN, SSID alebo triedu zariadení. Jedno ploché pravidlo „prejdi na WAN“ spôsobilo, že finančný priečinok vyššie skončil na verejnej ceste.
Tieto tri nie sú zameniteľné. Návrat na WAN udrží podporu pri telefónoch, ale vystaví interné názvy lokálnemu resolveru. Záložný tunel zachová politiku, ale môže pristáť na výstupnej adrese, ktorú druhá strana neakceptuje. Blokovanie je správne pre VLAN miezd a nesprávne pre hosťovskú sieť, ktorá tunel nikdy nepoužívala.
| Outcome | Right for | What breaks |
|---|---|---|
| Backup tunnel | Policy must hold, remote access required | New exit address, return route, slower rekey |
| Plain WAN | Guest or public-only traffic | Internal names, DNS and IPv6 exposure |
| Block | Payroll, admin, anything VPN-only | Users lose all access and call you |
Zlaďte detektor s poruchou, ktorej sa naozaj bojíte
Stav handshake, stav rozhrania a použiteľné preposielanie sú tri rôzne signály a používateľovi záleží len na poslednom. Peer WireGuard môže ukazovať čerstvý handshake, kým upstream poskytovateľa zahadzuje pakety. Klient OpenVPN môže zostať v stave „pripojené“, keď trasa, ktorú pretlačil, prestala byť rozlíšiteľná.
V pfSense je praktickým riešením skupina brán napájaná dpinger, ktorý sonduje monitorovaciu adresu a označí bránu ako nedostupnú, keď strata alebo latencia prekročí prahy. Namierte to monitorovanie na niečo za tunelom, napríklad na hostiteľa vo vzdialenej LAN alebo na verejnú adresu, ktorú cez neho dosiahnete. Mierenie na vlastnú adresu peeru tunela meria časť, o ktorej už viete, že je živá.
Postavte skupinu tak, aby záloha zostala poslednou možnosťou
Používajte vrstvy, nie jeden plochý zoznam členov. Hlavný vo vrstve 1, záložný tunel vo vrstve 2, WAN vo vrstve 3 len pre VLAN, ktorých politika to dovoľuje. V pfSense to je pod System > Routing > Gateway Groups: pridajte obe brány, dajte im rôzne vrstvy, nastavte Trigger Level na nedostupnosť člena plus stratu paketov, uložte a potom skupinu použite ako predvolenú bránu rozhrania alebo v poli Gateway pravidiel firewallu, ktoré ju potrebujú.
Pre inštanciu klienta OpenVPN v pfSense 2.5 a novšom nastavenie Default Gateway inštancie rozhoduje, či tunel vôbec nahradí systémovú predvolenú trasu. Smerovanie podľa pravidiel sa správa tak, ako očakávate, len keď je trasa, ktorú predpokladáte, skutočne nainštalovaná. Po zmene skontrolujte Status > Gateways namiesto toho, aby ste dôverovali ikone stavu tunela.
Dve nastavenia spôsobujú väčšinu blikania. Jedno je interval sondy kratší než vlastná rekonvergencia poskytovateľa. Druhé je skupina, v ktorej hlavný a záložný zdieľajú vrstvu, takže oba zostávajú vhodné stále. Pridajte hysterézu cez prahy straty a latencie skôr, než používatelia pocítia prechody za vás.
Zatvorte cesty, ktoré tunel nikdy nevlastnil
Najprv úniky DNS. Resolver ďalej odpovedá na WAN a preposiela cez ňu, takže názvy sa stále rozlišujú cez ISP, kým je prevádzka pripnutá k tunelu. Obmedzte odchádzajúce rozhrania resolvera, pretlačte interný resolver ku klientom a zablokujte port 53 pre všetko ostatné vo VLAN len s VPN.
IPv6 potrebuje vlastné rozhodnutie. Dual-stack LAN môže stratiť tunel a udržať funkčnú globálnu predvolenú trasu IPv6, takže prehliadače uprednostnia IPv6 a odchádzajú cez WAN, kým IPv4 vyzerá dokonale uzavreté. Buď smerujte IPv6 do tunela, alebo prestaňte inzerovať globálny prefix, kým je tunel dole. Polovica politiky je horšia ako žiadna, pretože vyzerá, akoby fungovala.
Potom spiatočná cesta. Ak záložný výstup používa inú zdrojovú adresu, druhá strana musí vedieť, ako poslať prevádzku späť na ňu, a každý stav naviazaný na starú adresu je už mŕtvy. Relácie otvorené pri páde hlavného nemigrujú; stoja, kým nevypršia a aplikácia nerozhodne, čo s nimi.
Otestujte pád, blikanie a cestu späť
Vytiahnite hlavný pri neškodnej prevádzke, potom prečítajte štyri veci: Status > Gateways pre stavy členov skupiny, pfctl -ss pre stavy stále pripnuté k starej bráne, traceroute z klienta pre výstupnú cestu a dotaz na resolver, aby ste videli, ktorý server odpovedal.
Teraz to rozblikajte. Hlavný na tridsať sekúnd hore, na tridsať dole, dvakrát. Ak prevádzka naháňa každý prechod, prahy sú príliš tesné alebo vrstvy sú nesprávne. Opravte to podľa svojho harmonogramu, pretože inak to poskytovateľ urobí podľa svojho.
Nakoniec potvrďte, že router stále viete spravovať. Udržujte cestu mimo pásma, napríklad konzolový kábel, správu VLAN alebo mobilný modem. Test prepnutia, ktorý vás zamkne vonku, je test, ktorý nemôžete dokončiť, a nedostupný router sa nevie vrátiť sám.
Skôr než politiku vyhlásite za hotovú, mali by ste vedieť odpovedať na štyri otázky bez otvorenia terminálu: ktoré VLAN môžu používať WAN, kým je tunel dole, čo detektor sleduje a ako dlho čaká, ktoré názvové servery a trasy IPv6 sa pohybujú s cestou a ako sa dostanete späť, ak zlyhá aj záloha. Ak je niektorá odpoveď „čokoľvek bolo predvolené“, politika stále patrí routeru a nie vám.