Два IPsec пролаза без заједничке IP: шта преусмеравање заиста ради

Убијте пролаз A током састанка и гледајте како се тунел враћа кроз B минут касније; веза ради, видео позив можда не. То је искрен облик хладног преусмеравања између два IPsec пролаза са независним адресама. Клијент поново бира крајњу тачку и гради нови однос, што враћа достижност без преношења криптографског стања старе сесије. Праћење редоследа јасно показује која обећања дизајн може да одржи.

Поставимо сцену: две адресе, без плутајуће IP

Пролаз A одговара на једној достижној адреси, а пролаз B на другој. Клијент има одобрен начин да изабере B када A нестане, и нема заједничке спољне адресе коју оба пролаза траже. У овом дизајну виртуелна IP значи управо ту заједничку улазну тачку, а не унутрашњу адресу додељену клијенту удаљеног приступа.

Та дефиниција је важна јер се две идеје мешају у тикетима, а поправка једне није поправка друге. Извештај да заједнички улаз није пратио пролаз описује један дизајн. Извештај да је лаптоп изгубио унутрашњу адресу описује закуп клијента. Различити власници, различити дневници, различите поправке.

Прођите кроз квар: открити, затим поново изабрати

Прво нешто примети да је A престао да одговара. То може бити откривање мртвог партнера на слоју тунела, протокол рутирања који повлачи путању, или истек времена апликације који коначно присиљава поновно повезивање. Сваки има другачију временску скалу, а најспорији обично одређује колико корисници чекају.

Затим клијент бира B кроз који год механизам распоређивање подржава: други конфигурисани удаљени крај, DNS име разрешено на здраву адресу, или рутирање које сада преферира други пут. Избор је корак политике и мора постојати пре квара, иначе ће се догодити случајно.

Шта B може, а шта не може да наследи

B може да дели са A шаблон конфигурације, сертификационо тело и политику аутентификације. Не може да наследи живе безбедносне асоцијације. Кључеви сесије, индекси безбедносних параметара и стање редоследа припадају односу који су A и клијент успоставили, а B нема ниједан од њих.

Премештање тог стања између пролаза је прави инжењерски проблем, зато strongSwan документација о високој доступности то третира као кластер дизајн, а не као конфигурациону заставицу. Конкретан кластер рецепт није општи одговор за облачну мрежу, а његово копирање без пратеће инфраструктуре купује сложеност уместо континуитета.

Успостављање новог односа

Када је B изабран, клијент обавља нову IKE размену: нове nonce вредности, нове Diffie-Hellman вредности, нове идентификаторе за настале асоцијације. Аутентификација се поново дешава на B. Ако се дизајн ослања на машинске акредитиве, поновно повезивање може бити без надзора; ако захтева људски фактор, неко мора бити присутан да би преусмеравање било завршено.

Дефинишите то корисничко искуство пре прекида, а не током њега. Реците јасно шта ће клијент радити, колико дуго ће покушавати и шта ће приказати када одустане, јер је разлика између минута поновног повезивања и позива подршци обично документација и тестирани профил.

Чување исте унутрашње адресе помаже апликацијама које очекују стабилан локални идентитет, а не чува њихове сесије. NAT везе истичу, TCP конекције се ресетују, а све са сопственим истеком времена самостално одлучује да ли ће покушати поново.

Два тунела паралелно су другачији дизајн

Покретање оба тунела истовремено је ваљан образац када то подржавају оба пролаза и дизајн рутирања. Тада избор руте бира активну путању, а повратна путања мора да се слаже, иначе саобраћај излази кроз један пролаз и враћа се кроз други без стања које би га упарило.

Политике тунела које се преклапају саме по себи не стварају уредан прелаз. Оне стварају два кандидата, и нешто мора детерминистички да одлучи између њих: метрика руте, приоритет политике или изричита преференција у клијенту.

Који год облик изаберете, запишите уговор: како се квар открива, како се бира алтернатива, коју аутентификацију она захтева и колико се очекује да поновно повезивање траје. Заједничка IP може поједноставити откривање, али није синоним за непрекидно стање, а доступност је у сваком случају дизајн.