Një llogari VPN në dy serverë: tre regjistra të gjendjes

Një llogari që mund të hyjë në cilindo nga dy nyjet VPN ngre një pyetje projektimi shumë përpara se të ngrejë një pyetje softueri. Pamja e llogarisë, rrjeti që zotëron secila nyje dhe sesioni që mban një klient i lidhur janë tre lloje të ndryshme gjendjeje, dhe dështojnë në mënyra të ndryshme kur i kopjoni andej-këtej. Kopjimi i të treve në një sistem të vetëm është një mënyrë e zakonshme për të humbur një prej tyre.

Kaloni nëpër tre regjistrat më poshtë sipas radhës. Secili pyet çfarë është autoritative, çfarë është lokale dhe çfarë ndodh kur nyja tjetër mungon, dhe përgjigjet nuk rrjedhin nga njëra-tjetra.

Kush mund të lidhet: një autoritet, shumë nyje

Filloni me regjistrin e pranimit: cili burim identiteti është autoritativ, cilëve lëshues certifikatash u besohet, cilat llogari janë të përshtatshme, cili faktor i dytë zbatohet dhe deri ku mund të arrijë secila llogari. Më pas shkruani si secila nyje mëson për ndryshimet, dhe sa shpejt.

Një bazë të dhënash e përbashkët është një komponent i mundshëm i asaj përgjigjeje. Nuk është provë që çdo politikë përkatëse jeton atje, ose që çdo nyje zbaton një ndryshim në të njëjtin çast. Një llogari e çaktivizuar në nyjen A por ende e pranuar në nyjen B do të thotë se procesi i daljes nuk ka përfunduar.

Vendosni çfarë bën një nyje kur autoriteti është i paarritshëm. Pranimi i kredencialeve të ruajtura gjatë një ndërprerjeje është një zgjedhje politike me kosto sigurie, dhe refuzimi i tyre është një zgjedhje politike me kosto disponueshmërie. Të dyja janë të mbrojtshme; lënia pa dokumentacion nuk është.

Mbajeni autoritetin e lëshuesit të ndarë nga të dhënat e llogarisë. Disa porta mund të besojnë të njëjtin CA pa mbajtur çelësin e firmës, dhe secila nyje vazhdon të ketë nevojë për certifikatën e vet të serverit dhe marrëdhënien e vet të besimit në anën e klientit.

Çfarë zotëron një nyje: adresa dhe rrugë

Regjistri i dytë është lokal për secilën nyje: adresa e dëgjimit, identiteti i serverit, grupi i adresave, rrugët drejt burimeve private, politika e zgjidhësit dhe si trafiku del drejt internetit. E njëjta llogari mund të shërbehet nga cilado nga të dyja nyjet, ndërsa këto objekte mbeten të ndryshme.

Rruga e kthimit është pjesa që harrohet. Nëse të dyja nyjet shpërndajnë adresa nga i njëjti grup, rrjeti privat nuk mund të thotë se cilës nyje i përket një klient i caktuar, dhe përgjigja mund të dërgohet në vendin e gabuar. Grupet e ndryshme kanë nevojë edhe për rrugë dhe leje, kështu që një interval numrash i veçantë nuk është projekt i plotë.

Drejtojini klientët drejt një nyje me qëllim. Zgjedhja e DNS, listat e pikave përfundimtare të klientit dhe një shërbim ballor janë mekanizma të ndryshëm me sjellje të ndryshme shëndeti dhe kalimi në dështim. Të zgjedhësh një është në rregull; trajtimi i «balancimit të ngarkesës» si projekt i lë rrugën e kthimit dhe sjelljen në dështim të papërcaktuara.

Një shembull i dokumentuar produkti ndihmon këtu. Dokumentacioni i replikimit i Pritunl e trajton rrjetin VPN si objekt për çdo kopje, dhe klientët në kopje të ndryshme kanë nevojë për rrugë dhe lidhshmëri shtesë për të arritur njëri-tjetrin. Ky është një rregullim specifik i produktit, jo një recetë për Community OpenVPN, por tregon pse shtimi i një kopje ndryshon rrjetin dhe jo vetëm depon e llogarive.

Çfarë është një sesion: gjendje e gjallë, jo rresht

Regjistri i tretë është sesioni aktiv. Një klient i lidhur ka gjendje protokolli dhe një caktim rrjeti në nyjen që e pranoi. Fakti që llogaria njihet në nyjen tjetër nuk i jep asaj nyje sesionin, çelësat ose aftësinë për të vazhduar paketat.

Jini të qartë për çfarë ndodh kur një nyje dështon. Rezultati i mbështetur mund të jetë një rilidhje me nyjen tjetër me vërtetim të ri dhe një adresë të re, pas së cilës aplikacioni rikuperohet në mënyrën e vet. Nëse kërkohet dorëzim i pandërprerë, ai kërkesë ka nevojë për mbështetje të qartë në implementim, jo për një përfundim nga replikimi i bazës së të dhënave. Shkruajeni përgjigjen atje ku inxhinieri i turnit mund ta gjejë.

Rregullat e kapacitetit kanë nevojë për të njëjtin trajtim. Një kufi prej dy sesionesh të njëkohshme për llogari mund të zbatohet midis nyjeve vetëm nëse një autoritet ka një pamje të koordinuar të vendeve të zëna. Listat lokale të nyjeve dhe një regjistër historik i llogarisë nuk mblidhen në atë pamje.

Prova e tre regjistrave

Praktikoni secilin veçmas. Hyni përmes nyjes A, pastaj përmes nyjes B, dhe konfirmoni se të dyja ia dalin me intervalet e pritura të adresave. Tërhiqni një identitet dhe kontrolloni të dyja nyjet, jo vetëm atë që testuat rastësisht. Pastaj ndaloni një nyje dhe vëzhgoni çfarë bëjnë në të vërtetë klienti dhe aplikacioni privat.

Përfshini rrugën e kthimit në testin e pranimit. Një klient që lidhet me B por nuk mund të marrë përgjigje nga një burim pas A e ka kaluar kontrollin e pranimit dhe ka dështuar atë të rrjetit, dhe ky dallim duhet të shfaqet në raport.

Projekti i një llogarie me shumë nyje është i plotë vetëm kur të tre regjistrat kanë një pronar të qartë, një rrugë ndryshimi dhe një sjellje në dështim. Kopjimi i një skedari konfigurimi midis nyjeve nuk i përgjigjet asnjë prej këtyre pyetjeve.