Dve brány IPsec bez spoločnej IP: čo skutočne robí prepnutie pri výpadku

Ukončite bránu A počas porady a sledujte, ako sa tunel o minútu vráti cez B; spojenie funguje, videohovor možno nie. To je čestná podoba studeného prepnutia medzi dvoma bránami IPsec s nezávislými adresami. Klient znova vyberie koncový bod a vytvorí nový vzťah, čo obnoví dostupnosť bez prenosu kryptografického stavu starej relácie. Prejdenie postupnosti ukáže, ktoré sľuby dokáže dizajn dodržať.

Nastavme scénu: dve adresy, žiadna plávajúca IP

Brána A odpovedá na jednej dostupnej adrese a brána B na inej. Klient má schválený spôsob, ako zvoliť B, keď A zmizne, a neexistuje spoločná vonkajšia adresa, ktorú by obe brány nárokovali. V tomto dizajne virtuálna IP znamená tento spoločný vstupný bod, nie vnútornú adresu pridelenú klientovi vzdialeného prístupu.

Táto definícia je dôležitá, pretože sa obe predstavy v tiketoch miešajú a oprava jednej nie je opravou druhej. Správa, že spoločný vstup nenasledoval bránu, opisuje jeden dizajn. Správa, že notebook stratil vnútornú adresu, opisuje klientov nájom. Rôzni vlastníci, rôzne logy, rôzne opravy.

Prejdime výpadok: detekcia, potom nový výber

Najprv si niečo všimne, že A prestala odpovedať. Môže to byť detekcia mŕtveho partnera na vrstve tunela, smerovací protokol, ktorý sťahuje cestu, alebo časový limit aplikácie, ktorý napokon vynúti opätovné pripojenie. Každý má inú časovú škálu a najpomalší zvyčajne určuje, ako dlho používatelia čakajú.

Potom klient vyberie B prostredníctvom mechanizmu, ktorý nasadenie podporuje: druhý nakonfigurovaný vzdialený bod, meno DNS preložené na zdravú adresu alebo smerovanie, ktoré teraz uprednostňuje inú cestu. Výber je krok politiky a musí existovať pred výpadkom, inak sa stane náhodou.

Čo B môže a čo nemôže zdediť

B môže s A zdieľať šablónu konfigurácie, certifikačnú autoritu a zásady overovania. Nemôže zdediť živé bezpečnostné pridruženia. Kľúče relácie, indexy bezpečnostných parametrov a stav postupnosti patria vzťahu, ktorý A a klient vytvorili, a B nemá nič z toho.

Presun tohto stavu medzi bránami je skutočný inžiniersky problém, preto dokumentácia strongSwan pre vysokú dostupnosť pojednáva o ňom ako o dizajne klastra, nie ako o konfiguračnom prepínači. Konkrétny klastrový recept nie je všeobecnou odpoveďou pre cloudovú sieť a jeho kopírovanie bez podpornej infraštruktúry kupuje zložitosť namiesto kontinuity.

Vytvorenie nového vzťahu

Po výbere B vykoná klient novú výmenu IKE: nové hodnoty nonce, nové hodnoty Diffie-Hellman, nové identifikátory výsledných pridružení. Overenie prebehne znova na B. Ak sa dizajn spolieha na strojové prihlasovacie údaje, opätovné pripojenie môže byť bez dozoru; ak vyžaduje ľudský faktor, niekto musí byť prítomný, aby sa prepnutie dokončilo.

Definujte tento používateľský zážitok pred výpadkom, nie počas neho. Povedzte jasne, čo klient urobí, ako dlho sa bude snažiť a čo ukáže, keď to vzdá, pretože rozdiel medzi minútou opätovného pripojenia a volaním podpory je zvyčajne dokumentácia a otestovaný profil.

Zachovanie rovnakej vnútornej adresy pomáha aplikáciám, ktoré očakávajú stabilnú miestnu identitu, a nezachováva ich relácie. Väzby NAT vypršia, spojenia TCP sa resetujú a čokoľvek s vlastným časovým limitom sa samostatne rozhoduje, či to skúsi znova.

Dva tunely paralelne sú iný dizajn

Prevádzka oboch tunelov súčasne je platný vzor, keď to podporujú obe brány a dizajn smerovania. Výber trasy potom zvolí aktívnu cestu a spätná cesta musí súhlasiť, inak prevádzka odchádza jednou bránou a vracia sa druhou bez stavu, ktorý by ju spároval.

Prekrývajúce sa tunelové zásady samy o sebe nevytvárajú usporiadané prepnutie. Vytvárajú dvoch kandidátov a niečo medzi nimi musí rozhodnúť deterministicky, či už je to smerovacia metrika, priorita zásad alebo výslovná preferencia v klientovi.

Akúkoľvek formu zvolíte, napíšte zmluvu: ako sa výpadok deteguje, ako sa vyberá alternatíva, aké overenie vyžaduje a ako dlho sa očakáva opätovné pripojenie. Spoločná IP môže zjednodušiť objavovanie, ale nie je synonymom nepretržitého stavu a dostupnosť je v každom prípade dizajn.