VPN mbi disa shtigje: katër garanci që operatori duhet të ofrojë

Shtoni një lidhje të dytë WAN dhe tunelet ngrihen, por një kopjim skedari ngec ende kur një shteg lëkundet. Lidhjet janë të shëndetshme dhe proceset VPN po ekzekutohen; ajo që mungon është një kontratë midis operatorit dhe tunelit. Disa soketa nuk sillen automatikisht si një lidhje e vetme, dhe aplikacioni sipër tyre nuk e vëren dallimin derisa furnizimi prishet. Secila pjesë e kontratës përputhet me një dështim që mund ta provoni, dhe kjo është ajo që e bën të dobishme.

Shkruajeni atë kontratë përpara se të zgjidhni një produkt. Ka katër pjesë: rrjedhën që merr VPN-i, si operatori rikuperon të dhënat që mungojnë, cili identitet i pikës fundore i mbijeton një ndryshimi shtegu dhe si sillen të gjitha kur një shteg dështon.

Simptoma: lidhjet janë lart, sesioni prapë prishet

Një grafik monitorimi që tregon të dyja lidhjet lart dëshmon vetëm se secili shteg mund të mbajë trafik. Nuk dëshmon se VPN-i sheh një rrjedhë të vetme të renditur, se një paketë e humbur në një shteg rikuperohet në një tjetër, ose se pala tjetër ende e di me cilën sesion po flet. Pjesa tjetër e kontratës mbulon atë që grafiku nuk mund të tregojë.

Kur një transferim ngec, zbuloni nëse operatori vazhdoi të furnizojë në shtegun që mbijetoi. Nëse sesioni vdes ndërsa lidhja e dytë është boshe, operatori nuk e përdori kurrë. Nëse sesioni mbijeton por të dhënat vijnë jashtë rendit ose të dyfishuara, operatori po lëviz paketa pa një kontratë në nivel lidhjeje. Vulat kohore në të dyja anët zakonisht e bëjnë të qartë.

Ai dallim vendos zgjidhjen. Një problem rrugëtimi ose politike kërkon një ndryshim të zgjedhjes së shtegut; një shtresë e munguar e renditjes dhe rikuperimit kërkon një transport tjetër, jo një buffer më të madh.

Garancia e parë: një rrjedhë bajtësh në nivel lidhjeje

Nëse VPN-i ka nevojë për një rrjedhë të renditur të besueshme, operatori duhet të identifikojë intervalet e bajtëve mbi shtegun individual. Çdo lidhje TCP në bazë numëron vetëm segmentet e veta, kështu që një marrës nuk mund të rirenditë midis shtigjeve duke përdorur vetëm ata numra.

Multipath TCP është shembulli i standardizuar. Paraqet një rrjedhë të vetme të besueshme bajtësh ndërsa koordinon disa nënrrjedha TCP, me mapimin e sekuencës dhe konfirmimin në nivel të dhënash. Aplikacioni lexon një rrjedhë, jo nënrrjedhën që furnizoi rastësisht një pjesë të parë.

Në Linux, MPTCP është opt-in për çdo soket përmes IPPROTO_MPTCP. Kur negociimi nuk mund të përdorë sjellje multipath, kthimi i dokumentuar është TCP i zakonshëm, që do të thotë se aplikacioni mund të vazhdojë mbi një shteg pa përdorur kurrë të dytin. Kontrolloni cilën sjellje ka negociuar në të vërtetë soketi i vendosur, në vend që të supozoni se cilësimi i kernelit është zbatuar.

Garancia e dytë: renditja, dyfishimi dhe rikuperimi

Shtigjet me vonesa dhe norma humbjeje të ndryshme e detyrojnë operatorin të buferojë, të rirenditë dhe të ritransmetojë. Kontrata duhet të thotë sa buferim lejohet, çfarë kundërshtypje sheh aplikacioni dhe cili shteg mban një ritransmetim.

Një shteg që mbetet i lidhur por ndalon furnizimin është më i vështirë sesa një mbyllje e pastër. Operatori duhet ta zbulojë, të zhvendosë të dhënat në pritje dhe të shmangë pritjen e përjetshme për një segment që nuk do të vijë kurrë. Një kontroll i thjeshtë që të dyja lidhjet janë lart nuk e mbulon këtë gjendje.

Dyfishimi ka nevojë për rregullin e vet. Dërgimi i të njëjtit ngarkesë në të dy shtigjet mund të përmirësojë vonesën, por marrësi duhet ta shtypë kopjen përpara se të arrijë VPN-in. Anti-replay i IPsec është opsional për çdo shoqatë sigurie dhe kontrollon numrat e sekuencës; një shtresë dyfishimi që rirendit ose riprodhon paketa mund ta aktivizojë ose ta fshehë problemin derisa tuneli të bjerë.

Garancia e tretë: identiteti i pikës fundore dhe bashkimi i shtigjeve

Pala tjetër ka nevojë për një mënyrë të qëndrueshme për të njohur sesionin kur shfaqet një shteg i ri. Nëse çdo shteg autentikohet si tunel i veçantë, VPN-i mund të shohë dy sesione në vend të një. Nëse operatori bashkon shtigjet nën një sesion, duhet të përcaktojë si autentikohet shtegu i ri dhe çfarë ndodh me atë të vjetër.

Regjistroni cilat adresa dhe identifikues mbeten të qëndrueshëm: pika fundore e tunelit, identifikuesi i sesionit të operatorit dhe çdo proxy në mes. Një proxy shton një tjetër kufi disponueshmërie dhe besimi edhe kur nuk e sheh kurrë ngarkesën e mbrojtur.

Këtu qëndron edhe politika. Një shteg që bashkohet nga një rrjet i papritur mund të jetë teknikisht i vlefshëm dhe prapë të shkelë modelin e synuar të besimit. Vendosni nëse shtigjet e reja pranohen automatikisht, kërkojnë autentikim ose refuzohen.

Garancia e katërt: sjellje e kufizuar në rast dështimi

Provoni një dështim të plotë të shtegut, jo vetëm një shteg të ngadaltë. Shtegu që mbijeton duhet të mbajë sesionin pa rritje të pakufizuar të kujtesës, dhe rikuperimi nuk duhet të varet nga një kohëmatës më i gjatë sesa aplikacioni mund të tolerojë. Kur shtegu i dështuar kthehet, operatori duhet të vendosë nëse ribalancon ose e lë rrjedhën aty ku është.

Vendosni kufij për buferimin, ritransmetimin dhe numrin e shtigjeve, pastaj verifikojini nën humbje, rirenditje, dyfishim dhe çekuilibër vonese. Gjerësia e brezit e agreguar është numri më pak interesant këtu; vazhdimësia e furnizimit dhe kufijtë e kujtesës janë kontrata.

Mbani gjendjen e rikuperimit të operatorit të ndarë nga gjendja kriptografike e VPN-it. Një shtresë e veçantë besueshmërie që zëvendëson autentikimin ose enkriptimin e vendosur nuk është shkurtore, dhe ripërdorimi i numrave të sekuencës midis shtresave e bën mbrojtjen anti-replay dhe diagnostikimin të pabesueshëm.

Pranojeni operatorin me një plan testimi

Shkruani katër garancitë si kontrolle kaluar ose dështuar: një rrjedhë e renditur, rikuperim i përcaktuar, identitet i qëndrueshëm sesioni, sjellje e kufizuar dështimi. Ekzekutoni çdo kontroll me një shteg të degradimuar dhe më pas me një shteg të hequr.

Një transferim i vetëm i suksesshëm skedari përmes një ndryshimi shtegu nuk dëshmon funksionim të vazhdueshëm. Përsëriteni transferimin ndërsa ndërroni shtegun e preferuar dhe inspektoni si pamjen e operatorit ashtu edhe numëruesit e vetë VPN-it. Nëse të dy nuk bien dakord se cili shteg mbajti të dhënat, kontrata nuk është ende e vëzhgueshme.

Ruani matricën e miratuar bashkë me vendosjen. I tregon inxhinierit të ardhshëm çfarë sjelljeje u premtua, cilat kombinime shtigjesh u testuan dhe cili modalitet dështimi mbetet i pambështetur, pa një raund tjetër hamendjesh nga dritat e statusit të lidhjeve.