Друга VPN крајња тачка: шта покрива, а шта не

Две крајње тачке на папиру изгледају као резерва. У пракси друга адреса помаже само када клијенти могу да је достигну и када избегава отказ за који се припремате. Два сервера иза исте приступне везе, истог налога или исте циљне мреже падају заједно. Корисно питање је који једини отказ друга крајња тачка отклања.

Упоредите шта обе крајње тачке деле

Наведите шта је заједничко двема крајњим тачкама пре него што пребројите шта дуплирају. Локација хостинга, налог код провајдера, горњи транзит, DNS хостинг, извор идентитета и приватни ресурс иза тунела представљају или заједничку или независну зависност. Две виртуелне машине у једном региону деле испад провајдера. Два региона под једним налогом и даље деле обрачунски однос и контролну раван која их ствара.

Циљна мрежа заслужује исти третман. Здрава резервна капија не може да врати NAS који је ван мреже и не може да стигне до канцеларијске мреже чија је горња веза пала. Ако обе крајње тачке завршавају у истој приватној подмрежи, друга додаје само пут ка одредишту које је већ једина тачка отказа.

Идентитет је зависност коју људи заборављају. Клонирање сертификата и конфигурације на други хост ствара два места на којима се исти акредитив може копирати и не говори ништа о томе како опозиви стижу до оба.

Одлучите како се клијент пребацује

Друга крајња тачка је корисна само ако клијент зна за њу и може да је изабере без позива подршци. OpenVPN профили везе могу да носе неколико remote редова са политиком избора, а већина клијената нуди алтернативни профил у менију. Који год механизам био, запишите који имају ваши корисници, јер профил који не могу да пронађу није пребацивање.

Прочитајте документацију клијента о променама адресе током сесије. Неке имплементације задржавају првобитног партнера током целог живота тунела и алтернативама се обраћају само при поновном повезивању. Та разлика одлучује да ли мртва крајња тачка прави кратак прекид или сесију која се никада не опоравља. Тестирајте пут поновног повезивања уместо да претпостављате да се догађа.

Промењена излазна адреса такође квари стање апликације. Пребацивање је опоравак, а описивање тога као непрекинутог континуитета ствара очекивање које транспорт не може да испуни.

Тестирајте један стварни отказ

Изаберите један контролисани прекид и изведите га од почетка до краја, уместо да верујете пројектном документу. Зауставите примарну крајњу тачку, па потврдите да овлашћени клијент долази до предвиђене апликације преко алтернативе, док неовлашћени клијенти и даље не могу. Забележите колико је пребацивање трајало и шта је апликација видела.

dig +short vpn2.example.net
ip route get 10.20.30.41
journalctl -u openvpn@backup --since '-10 min'

Прва наредба потврђује да се резервно име разрешава у нешто рутабилно пре него што вам затреба, и то је најјефтинији тест овде. Друга показује које би сучеље језгро користило за приватно одредиште када алтернатива буде подигнута. Трећа даје дневник клијента са именом партнера са којим се заиста повезао, и то је једини доказ да се пребацивање догодило. Пратите и понашање блокирања током празнине, јер политика која при пребацивању пропушта саобраћај гора је од кратког прекида.

Затим вратите оригинал и потврдите да ли се клијент враћа. Враћање које се догоди случајно је понашање које нико није планирао.

Запишите шта друга адреса даје

Сажмите покривеност у једном пасусу: који отказ друга крајња тачка отклања, које отказе дели с првом и на којим претпоставкама почива пребацивање. Наведите механизам на страни клијента, као и приватне руте и понашање DNS-а које мора да постоји на оба места. Јавни интернет излаз није замена за приватну капију, а документу који их третира као заменљиве ће се веровати. Додајте тест опоравка који сте извели, са датумом и резултатом.

Независност од једног сервера није независност од заједничког налога или циљне мреже. Управо пасус који то изговара гласно спречава да се друга адреса интерно продаје као висока доступност. Он такође говори следећем оператеру шта прво проверити када пар падне заједно.