Drugi vstop VPN v omrežje WAN odpove, medtem ko primarni še deluje

Primarni tunel ostane vzpostavljen, uporabniki delajo naprej, drugi tokokrog ISP pa stoji brez dela ne glede na to, kaj spremenite. Objavili ste naslov za rezervni tokokrog, nanj usmerili ime, morda v klienta dodali rezervni vstop, in klient ga bodisi nikoli ne poskusi bodisi se overi in nato pade. V primerih, ki sem jih preveril, je bila funkcija preklopa običajno v redu; manjkala je ena od petih stvari, ki naredijo vstop uporaben. Ime se lahko razreši na rezervni naslov, medtem ko na tem vmesniku nič ne posluša, in poslušalec lahko sprejme povezavo, medtem ko odgovor odhaja skozi primarnega. Vsako omrežje WAN obravnavajte kot ločen vstop z lastno pogodbo in okvara ne bo več videti kot napaka klienta.

Vsako omrežje WAN potrebuje lastno pogodbo vstopa

Za vsako omrežje WAN zabeležite pet polj: javno ime in naslov, transport in vrata, vmesnik ali kontekst, ki ga zaključi, identiteto partnerja, ki jo mora predstaviti, in kje odgovor zapusti omrežje. Dva tokokroga pomenita dva popolna niza. Če drugi niz nima zaključnega vmesnika ali povratne poti, nimate rezervnega vstopa; imate zapis DNS, ki opisuje namero.

Naprava in njena različica morata takšno ureditev tudi podpirati. Zapis DNS ne more odpreti storitve na drugem vmesniku, na mnogih platformah pa se poslušalec nastavi na naslov in ne na napravo. IPsec, ki temelji na vmesniku, na napravi ASA veže kriptografske zemljevide in skupine tunelov na zunanji vmesnik, zato drugi vzpon potrebuje pravilnik tam, kamor ti paketi dejansko pridejo. Zasnove, ki temeljijo na usmeritvah, se obnašajo drugače: poslušalec se lahko veže na vsak naslov ali na en imenovan naslov, in ta izbira odloči, ali lahko ISP B sploh odgovori.

Preverite, ali drugi WAN res odgovarja

Preizkušajte zunaj obeh tokokrogov, ne s stroja za prehodom, in preizkusite točno ime, ki ga uporablja profil klienta. Za poslušalca TLS je hitro preverjanje openssl s_client -connect ADDRESS:443 -servername vpn.example.com -showcerts zagnano z gostitelja zunaj vašega omrežja. Želite dokončano rokovanje, katerega veriga se ujema z imenom v profilu, ne le vrat TCP, ki sprejme povezavo.

RFC 9525 pojasnjuje, kaj klient preverja: identiteto, do katere je nameraval priti, v primerjavi s potrdilom, ki ga storitev predstavi. Drugi vstop, ki vrne potrdilo primarnega vstopa, ali privzeto potrdilo, ki ne navaja nobenega od imen, ne prestane tega preizkusa, čeprav so vrata odprta in jih požarni zid prepušča.

Dva vzorca pojasnjujeta večino okvar tukaj. Povezava, ki visi, običajno pomeni, da na tem vmesniku ni poslušalca, pravilo dostopa prepušča le primarna podomrežja, ali naprava operaterja pred drugim tokokrogom zavrača vrata. Rokovanje, ki se konča z napačno identiteto, običajno pomeni drugo točko zaupanja, privzetega navideznega gostitelja ali konfiguracijo, kopirano s primarnega brez prilagoditve identitete.

Sledite odgovoru, ne le zahtevi

Drugi WAN se običajno zlomi na poti nazaj. Zahteva prispe prek ISP B, naprava odgovori, odgovor pa odide skozi privzeto pot na ISP A z izvornim naslovom, ki ga klient ni nikoli zahteval. Prevajanje s stanjem stvar poslabša: če je bila preslikava zgrajena za primarni vmesnik, povratni paket zgreši prevajanje ali nosi vir, ki ga požarni zid klienta zavrže. Ponudniki tudi zavržejo izvorne naslove, ki ne pripadajo tokokrogu, ki so vam ga dali, zato je to videti kot enosmerna črna luknja in ne kot čista protokolna napaka.

Preverite odločitev usmerjanja za promet z izvorom v drugem vstopu. Odgovor bi moral zapustiti vmesnik, po katerem je prišla zahteva, ali vsaj nositi naslov, ki ga oddaljena stran sprejme kot del te poti. Na platformah s pravilniškim usmerjanjem to pomeni pravilo, vezano na vhodni vmesnik ali prevedeni izvor, ter prevajalsko izjavo, vezano na vsak zunanji vmesnik. Med povezovanjem klienta zajemajte hkrati na obeh vmesnikih; SYN, ki prispe prek ISP B, in SYN-ACK, ki odide prek ISP A, vprašanje razreši v enem zagonu.

Klientu dajte način, da izve za drugi vstop

Preklop je odločitev na strani klienta in vsaka družina klientov se o alternativah uči drugače. Na napravi ASA se seznam rezervnih strežnikov posreduje prek atributov webvpn skupinske politike, medtem ko drugi klienti pričakujejo seznam v profilu ali ročni drugi profil, ki ga izbere uporabnik. Vodnik Cisco za politike povezav opisuje tako rezervne podatke, nastavljene v klientu, kot tiste, ki jih zagotovi prehod, in teh podrobnosti, specifičnih za protokol, ne gre posploševati na vsakega klienta ali način tunela. Preden drugi vstop zgradite okoli napačnega, potrdite, kateri mehanizem izvaja nameščeni klient.

Ne glede na mehanizem mora klient razrešiti nadomestno ime, preden izgubi primarno pot. To odvisnost ljudje spregledajo: če rezervno ime odgovarja razreševalnik, dosegljiv le skozi tunel, ki je pravkar odpovedal, se rezerva sploh ne more začeti. Drugo ime objavite v razreševalniku, ki odgovarja lokalno ali prek interneta. Po premiku pričakujte novo overjanje in novo sejo aplikacije, ker preklop na strani klienta ni preklop s stanjem in dolgotrajne seje ga ne preživijo.

En naslov pri dveh ponudnikih je drug izdelek

Ohranjati en javni naslov dosegljiv skozi oba tokokroga je usmerjevalna storitev, ne kljukica v VPN. Potrebuje naslovni prostor, ki sta ga oba ponudnika pripravljena prenašati, objavljen tako, da ga njuni omrežji sprejmeta, kar zagotovi večdomenska povezanost z neodvisnim prostorom in BGP. Dodelitev naslova ISP A vmesniku ISP B vas tja ne pripelje; paket prispe v omrežje, ki predpone ni nikoli objavilo, in je zavržen višje gorvodno.

Nič od tega ne potrebujete, da objavite dva vstopa. Če lahko klient drži dve imeni in preklaplja med njima, zadata dva neodvisna vstopa, in izognete se številki AS, dogovoru o povezovanju in predponi, ki mora biti sprejeta povsod. Možnost prenosnega naslova upoštevajte le, ko res potrebujete eno stabilno vstopno točko, ki je klienti ne morejo nadomestiti s prekonfiguracijo, ali ko je preklop na osnovi DNS z zamikom TTL prepočasen za izpad, za katerega načrtujete.

Kaj preveriti naprej

Delajte navzven od vstopa, ki odpoveduje, v tem vrstnem redu: ali drugi naslov odgovarja od zunaj, ali predstavi identiteto, ki jo klient pričakuje, ali odgovor odide po poti, po kateri je prišla zahteva, in ali se lahko klient nauči imena, preden ga potrebuje. Kjer je odgovor ne, popravite to plast in znova preizkusite z nameščenim profilom in ne s preizkusnim gostiteljem, ker rokovanje iz laboratorija dokaže manj kot dokončana povezava pravega klienta.

Za vsak WAN vodite kratek zapis z naslovom, vrati, zaključnim vmesnikom, imenom potrdila, povratno potjo in prevajalskim pravilom ter ga znova preverite ob vsaki spremembi tokokroga, naprave NAT ali različice klienta. Neuporabljene rezervne poti tiho gnijejo: nič ne opozori na vstop, ki ga nihče ne uporablja, do dneva, ko so vsi odvisni od njega.