Plavajoča rezervna pot VPN ne prevzame: kontrolni seznam za preklop

Vaša plavajoča pot VPN je konfigurirana, razdalja rezerve je večja od primarne, in vendar se nikoli nič ne premakne. Ali pa se premakne in se čez nekaj minut vrne, medtem ko je brezžična povezava še vedno izpadla. V obeh primerih o ustreznosti poti odloča nekaj drugega kot okvara, ki vas zanima.

Ta preverjanja izvedite po vrsti. Vsako ima pogoj za ustavitev, neuspešnega preverjanja pa ne morejo rešiti naslednja. Primeri uporabljajo sintakso RouterOS, ker so razdalja, dosegljivost prehoda in rekurzivni naslednji skok tam vidni v konfiguraciji, vendar vrstni red velja za vsak usmerjevalnik s sledenimi statičnimi potmi.

Poimenujte okvaro, ki jo mora pokriti rezerva

„Primarna je izpadla“ so štiri različna opažanja. Radio, ki izgubi svojega partnerja, vmesnik, ki izgubi nosilca, oddaljeni prehod, ki preneha odgovarjati, in aplikacija, ki preneha delovati, so z mesta usmerjevalnika videti različno. Zapišite, za katero od njih je zasnova, preden kdo spremeni vrednost razdalje.

Nato preverite neodvisnost. Če zunanji transport VPN teče po isti brezžični poti ali po dostopni povezavi z istim nadrejenim tokom, rezerva ni druga domena okvare in bo izpadla točno takrat, ko jo potrebujete. Potegnite primarni kabel na papirju: če transport samega tunela umre z njim, plavajoča pot pokriva le napake konfiguracije, ne izpadov.

Nehajte od razdalje zahtevati, da karkoli zazna

Večja razdalja naredi pot manj prednostno. To je vse delo. Dokler primarna statična pot ostaja ustrezna, plavajoča pot ostaja neaktivna, in to je pravilno vedenje, ne napaka. Okvara postane vidna šele, ko je primarna umaknjena ali označena kot nedosegljiva.

Za statične poti to zahteva izrecen sledilnik:

/ip route
add dst-address=10.20.0.0/24 gateway=192.0.2.1 distance=1 check-gateway=ping
add dst-address=10.20.0.0/24 gateway=wg-backup distance=10

Preberite, kaj to preizkusi: naslednji skok, ne cilj. Radio, ki še vedno odgovarja na svoji lokalni strani, medtem ko je posredovanje naprej pokvarjeno, ohranja primarno pot aktivno. To je tihi primer in razdalja skupaj s preverjanjem prehoda ga ne bosta ujela. Če je ta primer pomemben, mora zaznavanje priti od nečesa, kar opazuje oddaljeno stran: sosedstvo usmerjevalnega protokola ali sonda, katere pot in pravilo izida ste določili sami.

Sledite, kam gredo paketi same sonde

Tudi zdravstvena sonda ima pot. Ko podatkovni promet preide na VPN, lahko neomejena sonda na isti oddaljeni naslov sledi za njim, uspe in se prebere kot dokaz, da se je primarna obnovila. Promet se vrne na pokvarjeno pot in cikel se ponovi.

Pripnite sondu na pot, ki naj bi jo presojala. V RouterOS je običajen način pot do gostitelja do cilja spremljanja skozi primarni prehod, z obsegom, ki je dovolj majhen, da je nobena druga pot ne more razrešiti, in prav to gradi primer rekurzivnega preklopa v priročniku RouterOS. Potrdite ga v živi tabeli z aktivno rezervo, ne iz komentarja v konfiguraciji:

/ip route print detail where dst-address=203.0.113.10
# gateway should still be the primary next hop

Preden dodate cilje, določite, kaj pomeni izid sonde

En cilj, ki zavrača ICMP ali gre v vzdrževanje, je videti natanko kot okvara poti, trije cilji brez pravila pa vam dajo le tri mnenja. Najprej odločite pravilo, nato ga uvedite: na primer, primarna se šteje za izpadlo, ko dva od treh ciljev spodletita v dveh zaporednih intervalih, zapisano v obratovalnem priročniku, kjer ga bo našel naslednji človek.

Nastavite pragove okvare in obnovitve tako, da en izgubljen paket ne premakne lokacije. Histereza stane nekaj časa zaznavanja in kupi nazaj stabilnost. Interval izberite glede na to, kako dolg izpad je sprejemljiv, ne glede na to, kako hitro lahko teče sonda, in vrnitev naj bo počasnejša od preklopa, da se mora primarna dokazati, preden dobi promet nazaj.

Preverite povratno pot in zgodbo sej

Preklop, ki deluje le navzven, je polovica zasnove. Oddaljena lokacija potrebuje povratno pot do vašega obsega virov prek VPN, sicer povratni promet prihaja z nepričakovanega naslova in zadene stanje požarnega zidu, ki se ne ujema več. Obstoječe seje se bodo prekinile tudi ko nove povezave delujejo, zato to vključite v merila sprejemljivosti, namesto da obljubljate preživetje prenosa.

Upravljalni dostop naj bo zunaj preskušene poti. Če je vaš edini vhod skozi primarno pot, vas preizkus preklopa zaklene iz naprave, ki se obnaša napačno.

Izvedite zaporedje sprejema

Trije preskusi pokrivajo večino: fizična izguba primarne, tiha okvara posredovanja z vmesnikom, ki je še vedno gor, in obnovitev primarne. Za vsakega zabeležite vir in naslednji skok sonde, aktivno pot do cilja in svežo dovoljeno izmenjavo aplikacije v obe smeri.

Tihi primer je tisti, ki loči zasnove. Če rezerva tam ne prevzame, ste zgradili monitor povezave, ne monitorja poti. Odločite, ali je to sprejemljivo, in omejitev zapišite tja, kjer jo bo prebral dežurni inženir. Drugi povezani tunel sam po sebi ni dokončana rezervna politika.