Lidhje të reja në një dalje të re VPN, rrjedhat e vjetra lihen të qeta

Një shkarkim i planifikuar lëviz vetëm rrjedhat e paklasifikuara. Krahasojeni me një ndërrim rruge dhe shihni shenjat, tabelat dhe gjendjen e conntrack që e mbajnë.

Dy dalje VPN të shëndetshme, një ngarkim i gjatë tashmë në punë dhe kërkesa që lidhja tjetër të përdorë tunelin tjetër. Ka dy mënyra për ta plotësuar këtë, dhe vetëm njëra është e sigurt në një portë aktive. Ndërrimi i rrugës parazgjedhëse lëviz çdo paketë, përfshirë ato që i përkasin ngarkimit. Një shkarkim i planifikuar ndryshon zgjedhjen për lidhjet e reja dhe i lë rrjedhat e gjurmuara në rrugën ku filluan.

Dy mënyra për të ndërruar një dalje

Ndërrimi i rrugës është një urdhër i vetëm dhe kthehet mbrapsht në sekonda, prandaj përdoret gjatë incidenteve. Është gjithashtu pa dallim: paketat e ngarkimit ekzistues dalin befas nga një tunel tjetër, me një adresë tjetër burimore publike dhe gjendje të ndarë përkthimi.

Nëse skaji i largët i gjurmon rrjedhat sipas adresës burimore, ngarkimi thjesht mund të mos njihet më. Shkarkimi e shmang këtë duke marrë vendimin një herë për lidhje dhe duke e ruajtur, kështu që ngarkimi i vjetër mban daljen e tij derisa të mbarojë. Kjo është e gjithë vlera e ushtrimit: skaji i largët nuk sheh asnjë ndryshim që duhet të interpretojë. Ai vazhdon të marrë paketa që përputhen me lidhjen që tashmë e njeh.

Çmimi është kompleksiteti: dy tabela rrugëtimi, një klasifikues që punon në grepën e duhur dhe shenja që duhet të koordinohen me gjithçka tjetër në makinë që i përdor ato.

Jepini çdo daljeje tabelën e vet

Rezervoni një tabelë rrugëtimi për çdo dalje dhe vlera ose bitë të dallueshëm shenje për dy zgjedhjet. Çdo tabelë ka nevojë për rrugët e përshtatshme për rolin e saj, jo vetëm një emër, dhe ka nevojë për një rezultat të qëllimshëm dështimi për rastin që mungon. Një tabelë bosh që bie në heshtje në tabelën kryesore — kështu trafiku del nga një dalje që askush nuk e zgjodhi.

ip rule add fwmark 0x10/0x10 table 101
ip rule add fwmark 0x20/0x20 table 102
ip route add default via 192.0.2.1 dev wg-a table 101
ip route add default via 198.51.100.1 dev wg-b table 102

Shtoni një rrugë blackhole në fund të çdo tabele, që një kërkim pa përputhje të dështojë me zë të lartë në vend që të shpëtojë te një parazgjedhje që nuk e zgjodhët.

Zgjidhni një herë, në paketën e parë

Klasifikoni pasi të ekzistojë gjurmimi i lidhjeve dhe përpara kërkimit të rrugës që ka rëndësi. Për një lidhje LAN të re dhe të paklasifikuar, zgjidhni daljen dhe ruajeni në gjendjen e lidhjes. Në paketat e mëvonshme, rikthejeni vlerën e ruajtur në shenjën e paketës që lexon rrugëtimi me politikë.

Pjesa delikate është çfarë do të thotë e re. Conntrack ende mund të raportojë NEW për paketat e hershme dhe ritransmetimet përpara se të shihet një përgjigje, kështu që një klasifikues që mbështetet vetëm në atë gjendje mund të mbishkruajë një zgjedhje që e ka bërë tashmë. Përpara se të caktoni një, kontrolloni që për lidhjen të mos jetë ruajtur asnjë dalje.

nftables i mban të ndara shenjat e paketës dhe të lidhjes, dhe udhëzuesi i metainformacionit dokumenton kopjimin e qartë mes tyre. Një shenjë lidhjeje nuk bëhet vetvetiu shenja e paketës me të cilën përputhet rregulli juaj, dhe kjo është arsyeja më e zakonshme pse një klasifikues i shkruar me kujdes nuk ka asnjë efekt.

Kufizoni rikthimin në drejtimin dhe trafikun që keni ndër mend. Zbatimi i një shenje daljeje interneti në paketat që kthehen mund t'i dërgojë përgjigjet drejt daljes në vend të LAN, dhe simptoma është një lidhje njëdrejtimëshe që duket si problem muri zjarri. Lexoni rrugën e përgjigjes përpara se të prekni një rregull muri zjarri, sepse paketa po rrugëtohet, thjesht jo përsëri te dërguesi.

Katër faza të një shkarkimi

  1. Përgatitni B pa prekur A: rrugëtim, përcjellje, autorizim, NAT dhe rruga e kthimit. Instaloni tabelën dhe politikën e përzgjedhjes përmes pronarit ekzistues të konfigurimit të portës.

  2. Ndërroni klasifikuesin që lidhjet e reja dhe të paklasifikuara të zgjedhin B, duke i ruajtur zgjedhjet e ruajtura. Një transaksion atomik nftables shmang një dritare ku gjendja e vjetër duhet pastruar.

  3. Lëreni A ndezur derisa rrjedhat e tij të përfundojnë. Ndërfaqja, tabela, dalja e largët dhe hartëzimet NAT janë ende pjesë e atyre rrjedhave, dhe redaktimi i një rregulli NAT nuk i rindërton lidhjet që ekzistojnë tashmë.

  4. Tërhiqni A kur plotësohet kushti i shkarkimit, i gjykuar nga gjendja e lidhjeve dhe sjellja e aplikacionit, jo nga një interval i vetëm i qetë.

Çfarë nuk mund të premtojë një shkarkim

Një kërkesë shfletuesi nuk është një lidhje e re transporti; grumbullimi vazhdon të dërgojë kërkesa mbi atë të vjetrën. Në të kundërt, një rrjedhë UDP mund të vjetërohet jashtë conntrack dhe një paketë e mëvonshme klasifikohet nga e para. Shkarkimi ndjek rrjedhat e gjurmuara, jo idenë e një aplikacioni për një sesion.

Nëse A dështon para se rrjedhat e tij të përfundojnë, shenja e ruajtur nuk i shpëton ato. Ato rilidhen përmes B, ose nuk rilidhen fare. Një shkarkim i planifikuar blen vazhdimësi sa kohë rruga origjinale është e shëndetshme; nuk është replikim gjendjeje midis daljeve të pavarura.

Verifikoni të dyja gjysmat

Filloni një lidhje të lejuar të gjatë përpara ndryshimit dhe një vërtet të re pas tij. Konfirmoni cilin tunel përdor secila dhe cilën adresë burimore publike sheh skaji i largët, pastaj kontrolloni që trafiku i kthimit kthehet.

Mos e zbrazni tabelën conntrack për ta bërë zgjedhjen e re të shfaqet. Kjo shkatërron pikërisht gjendjen që shkarkimi duhet të ruajë, dhe e kthen një migrim të kontrolluar në një ndërprerje me një provë që duket e pastër.

Artikuj të ngjashëm