Prepnúť VPN: keď spiatočná cesta zostane v starom tuneli

Záložný tunel sa zdvihne, primárny spadne a aplikácia stále vyprší časový limit. V oboch lokalitách vyzerá stav tunela zdravo, a práve to mätie. Prepnutie, ktoré presunie požiadavky na zálohu, ale odpovede nechá na starej ceste, nie je prepnutie. Návod nižšie testuje spiatočnú cestu, nielen nadviazanie spojenia.

Najprv zapíšte trasy na oboch koncoch; pohľad z jednej lokality nemôže ukázať asymetrickú cestu. Je to aj krok, ktorý sa pod časovým tlakom najčastejšie vynecháva.

Pred testom zapíšte trasy oboch lokalít

Pre každý chránený prefix zapíšte primárnu trasu, záložnú trasu a preferenciu, ktorá medzi nimi vyberá. Zahrňte bránu LAN za každým koncovým bodom VPN, pretože koncový bod je zriedka posledným skokom.

Statické metriky, sledované trasy a dynamické smerovanie vyjadrujú spôsobilosť rôzne. Vedzte, ktoré váš návrh používa, a čo treba, aby sa alternatíva stala aktívnou. Zapíšte podmienku vedľa trasy, napríklad nižšiu metriku, kým test nezlyhá.

Urobte to v oboch lokalitách. Záloha preferovaná na jednej strane a ignorovaná na druhej vytvára presne tú asymetriu, ktorej sa snažíte vyhnúť.

Sledujte požiadavky a odpovede v každej fáze

Použite neškodnú povolenú aplikáciu a sledujte tri fázy: normálnu, zlyhanie primárnej cesty a obnovu. V každej fáze zapíšte, ktorý tunel nesie požiadavku a ktorý odpoveď. Dostupná adresa partnera nedokazuje, že chránená cesta aplikácie funguje. Zaznamenajte to v oboch lokalitách, aby bol jednosmerný tok viditeľný.

Ak sa požiadavky presunú a odpovede nie, skontrolujte trasu vzdialenej lokality k prefixu klienta a jej preferenciu zálohy. To je rozhodnutie o smerovaní, nie zlyhanie tunela.

Po teste obnovte pôvodný stav a potvrďte, že primárna cesta je opäť preferovaná. Obnovená primárna cesta, ktorá nie je preferovaná, je nedokončený návrh prepínania.

Spravujte stav relácie pri zmene brány

Firewally a NAT môžu držať stav spojenia na jednej bráne a zmena cesty na inú bránu ho neprenáša. Niektoré aplikácie sa pripoja samy; iné zlyhávajú, kým sa relácia neobnoví. Ak záloha mení verejný zdroj alebo preloženú privátnu adresu, môžu reagovať aj pravidlá vzdialeného prístupu. Dokumentujte každé očakávané reštartovanie relácie namiesto sľubu prepnutia bez prerušenia.

Udržujte stabilné adresovanie tam, kde to aplikácia vyžaduje. Návrh prepínania, ktorý mení zdrojovú adresu pre každú reláciu, je dizajnová voľba a mala by byť zapísaná. Táto voľba určuje, ako veľký výpadok používatelia skutočne postrehnú.

Testujte aplikáciu, ktorá drží dlhú reláciu, nielen novú požiadavku.

Obnovte primárnu cestu a skontrolujte kmitanie

Potvrďte, že oznámenia trás alebo preferencie sa ustália bez kmitania. Kmitajúca primárna cesta môže byť rušivejšia než jasný výpadok, pretože každý prechod resetuje stav.

Udržujte správu brány dostupnú cez obnovovaciu cestu, aby vás test sám neuzamkol. Zapíšte fázy, pozorované cesty a čas obnovy; práve tento záznam robí ďalšie prepnutie predvídateľným. Poznámky strongSwan k preposielaniu sú užitočné, keď sú koncové body hostitelia Linux.